Chiavi API

Tutto ciò che si connette a MoneyLights dall’esterno dell’app — uno script, un’integrazione, un assistente AI — si autentica con una chiave API. Un tipo di credenziale, un posto per gestirla, un pulsante di revoca.

Creare una chiave

Vai su Impostazioni → Chiavi API come Proprietario o Admin della tua organizzazione. Un Membro può modificare i dati nell’app ma non può emettere una chiave: una chiave agisce in modo autonomo, il che è un tipo di responsabilità diverso.

Quando crei una chiave scegli:

Un nome — chiamala in base al sistema che la utilizzerà, non alla persona.
Ambiti — esattamente cosa può fare la chiave (vedi sotto).
Una scadenza — 30, 90, 180 o 365 giorni. Non c’è un’opzione “non scade mai”, per scelta: una credenziale di cui nessuno pensa mai di nuovo è una credenziale che nessuno nota sia trapelata.
Una lista di IP consentiti (opzionale) — limita la chiave alla tua infrastruttura, così una chiave trapelata è una chiave che funziona da nessun’altra parte.

Il segreto (ml_sk_…) viene mostrato una sola volta, al momento della creazione. MoneyLights memorizza solo un hash, quindi nessuno — incluso il supporto — può recuperarlo in seguito. Se lo perdi, ruota la chiave.

Dai a ogni integrazione la sua chiave. Puoi quindi disattivarne una senza interrompere le altre, e le statistiche di utilizzo ti dicono quale sistema sta facendo cosa.

Ambiti

Gli ambiti sono coppie risorsa:azione — ad esempio transazioni:leggi o documenti:scrivi. Una chiave contiene solo gli ambiti che le hai concesso, e:

Scrivere implica leggere, mai il contrario. fornitori:scrivi può anche leggere i fornitori; fornitori:leggi non può mai scrivere.
Gli ambiti non possono essere modificati dopo la creazione. Avere bisogno di un nuovo ambito significa creare una nuova chiave — ampliare una credenziale esistente sarebbe un cambiamento che nessuno vede.

Cosa può effettivamente fare una chiave viene ricalcolato su ogni richiesta:

permessi effettivi = gli ambiti della chiave ∩ cosa può fare il suo creatore ora ∩ il tuo piano

Quindi, se la persona che ha creato una chiave viene declassata, la chiave si restringe alla chiamata successiva. Se lascia l’organizzazione, le sue chiavi smettono di funzionare immediatamente. Emmetti chiavi sotto un account che rimarrà.

Rotazione

Ruotare emette un nuovo segreto per la stessa chiave e ti consente di scegliere per quanto tempo il vecchio continua a funzionare: immediatamente, 24 ore o 7 giorni. La finestra esiste così puoi distribuire il nuovo segreto senza downtime. La chiave mantiene il suo nome, ambiti, restrizioni IP e scadenza.

Ruota quando qualcuno con accesso al segreto se ne va, quando potrebbe essere stato esposto, e secondo qualsiasi programma stabilito dalla tua politica.

Avvisi di scadenza

Il creatore della chiave viene notificato 14, 7 e 1 giorno prima che una chiave scade, e una volta scaduta. Quelle notifiche non possono essere disattivate. Non aspettare l’ultima: ruotare a 14 giorni costa una distribuzione; scoprire una chiave scaduta a zero costa un’interruzione.

Memorizzare il segreto

Usa variabili di ambiente o un gestore di segreti — mai controllo sorgente, mai un file di configurazione che viene distribuito con la tua app.
Non mettere mai la chiave in un URL, in una riga di log o in un evento di analisi. Le richieste che portano una chiave nella stringa di query vengono rifiutate immediatamente.
Non usare mai una chiave nel codice lato client. Una chiave in un browser o in un’app mobile è stata data a chiunque la utilizzi.

Sospetti una fuga? Revoca prima, indaga dopo. La revoca è in Impostazioni → Chiavi API, ha effetto immediato ed è sempre disponibile — anche se il tuo abbonamento è in ritardo.

Prossimi passi

Con una chiave in mano, puoi chiamare il REST API o connettere un assistente AI tramite MCP — è la stessa credenziale per entrambi.