Intermediário
Autenticação em APIs (API Key e Bearer Token)
Como enviar tokens com segurança e por que segredos nunca devem ir para o front-end.
Identificando sua aplicação
APIs protegidas exigem credenciais para saber quem está fazendo a chamada:
- Bearer Token (JWT ou Laravel Sanctum): enviado no header
Authorization: Bearer SEU_TOKEN. Muito usado após login de usuários. - API Key: chave fixa fornecida por um serviço externo (ex.: gateway de pagamento, mapas, IA).
Regra de ouro de segurança
Nunca coloque chaves secretas (SECRET_KEY, tokens administrativos) em arquivos JavaScript do front-end ou no Git! Tudo que vai para o navegador pode ser inspecionado pelo usuário no DevTools. Guarde segredos no .env do servidor (back-end) e faça o back-end chamar a API externa.
Exemplo Prático
javascript
// No front-end apenas com token de sessão do usuário logado:
await fetch('https://api.exemplo.com/perfil', {
headers: {
Accept: 'application/json',
Authorization: `Bearer ${token}`
}
});