Una chiave limitata è una credenziale API intenzionalmente vincolata a risorse, endpoint o azioni specifici. Invece di concedere l'accesso completo all'account, può consentire solo l'accesso in sola lettura, a un singolo servizio o a un insieme ristretto di operazioni, come elencare oggetti o creare un solo tipo di record. Questo la rende diversa da una chiave segreta ampia, che spesso può agire come una password per l'intera integrazione.
Le chiavi limitate sono importanti perché le credenziali esposte sono un comune vettore di attacco. Se un aggressore ruba una chiave limitata, il danno è minore: potrebbe non essere in grado di modificare i dettagli di fatturazione, esportare tutti i dati o amministrare l'account. I difensori usano chiavi limitate per ridurre il blast radius, soprattutto per integrazioni di terze parti, strumenti interni e automazione. Spesso vengono abbinate a allowlist IP, durata breve e rotazione dei segreti, così che una perdita non si trasformi in un controllo completo.