# Gerenciamento de segredos > Gerenciamento de segredos é o conjunto de práticas e ferramentas usadas para guardar, distribuir, controlar e trocar com segurança informações sensíveis que dão acesso a sistemas, como chaves de API, senhas, tokens e certificados digitais. O objetivo é evitar que essas credenciais fiquem expostas no código, em planilhas ou em mensagens e sejam usadas por quem não deveria. **Também conhecido como:** Gestão de segredos, Gerenciamento de credenciais, Gestão de credenciais, Secrets management **Glossário:** [Glossário de A a Z](https://conota.dev/glossario/) · **Letra:** G ## O que conta como segredo em uma integração fiscal? Segredo é qualquer informação que, nas mãos erradas, permite agir em nome da sua empresa. Em uma integração fiscal, os mais comuns são a API Key usada para chamar o emissor, o arquivo do certificado digital A1 e sua senha, o CSC da NFC-e, os tokens de autenticação e a chave usada para validar webhooks com HMAC. Esses itens têm algo em comum: com eles, alguém pode emitir, cancelar ou consultar documentos fiscais como se fosse o emitente legítimo. Por isso, merecem um cuidado diferente do dado comum do sistema. ## Para que serve o gerenciamento de segredos? Serve para responder três perguntas com clareza: onde cada segredo está guardado, quem pode usá-lo e o que fazer quando ele precisar ser trocado. Sem essa organização, credenciais acabam espalhadas em arquivos de configuração, repositórios de código, e-mails e computadores pessoais. Na prática, um bom gerenciamento reduz o risco de vazamento, facilita auditorias, permite revogar um acesso rapidamente e evita que a emissão pare porque ninguém sabe onde está a senha do certificado ou qual chave está em uso. ## Como funciona o gerenciamento de segredos na prática? Em vez de escrever a chave diretamente no código, o sistema busca o segredo em um local protegido no momento em que precisa dele. Esse local pode ser um cofre de segredos (Key vault), um serviço de gerenciamento de chaves (Key management service) ou, em ambientes com contêineres, um recurso como o Kubernetes Secret. Esses cofres guardam os dados criptografados, liberam o acesso apenas para aplicações e pessoas autorizadas e registram quem consultou cada segredo. Muitos também ajudam na rotação de chaves (Key rotation), que é a troca periódica ou emergencial de uma credencial por outra nova. Um cuidado importante é separar os segredos por ambiente: a chave usada no ambiente de homologação não deve ser a mesma do ambiente de produção. Assim, um teste mal feito não afeta documentos reais. ## Quais são os erros mais comuns com segredos? O erro clássico é salvar a API Key ou a senha do certificado dentro do código-fonte e enviá-lo para um repositório, onde qualquer pessoa com acesso consegue ler. Outro erro frequente é imprimir o segredo em logs de integração, que costumam ser lidos por muitas pessoas e guardados por longos períodos. Também é comum usar uma única chave com acesso total para todos os sistemas e nunca trocá-la. Se ela vazar, não há como saber qual sistema foi comprometido, e a troca exige mexer em tudo ao mesmo tempo. ## Qual a diferença entre gerenciamento de segredos e Key management service? Gerenciamento de segredos é a prática como um todo: políticas, responsabilidades, rotação, controle de acesso e ferramentas. Key management service é um tipo de ferramenta, focado em criar, guardar e usar chaves criptográficas com segurança. Em resumo, o KMS pode ser uma das peças do gerenciamento de segredos, mas não o substitui. Ainda é preciso definir quem acessa o quê, quando trocar cada credencial e como agir em caso de vazamento. ## Como isso se aplica a integrações com API fiscal e MCP? Quando um ERP ou plataforma de vendas emite notas por API, ele precisa de uma credencial para se autenticar no emissor e, em muitos casos, de acesso ao certificado digital de cada empresa emissora. Guardar esses dados de forma centralizada e com permissões mínimas evita que uma falha em um módulo exponha todos os CNPJs. No acesso via MCP, em que agentes de inteligência artificial consultam documentos e executam ações, o cuidado é o mesmo: o agente deve receber uma credencial com permissões limitadas ao necessário, que possa ser revogada sem afetar o restante da integração e cujo uso fique registrado para auditoria. ## Exemplos de Gerenciamento de segredos - Um ERP deixa de gravar a API Key do emissor fiscal no arquivo de configuração e passa a buscá-la em um Key vault quando a aplicação inicia, com acesso liberado apenas ao servidor de produção. - Uma software house que atende dezenas de clientes guarda o certificado A1 e a senha de cada CNPJ criptografados e separados por tenant, evitando que um cliente tenha acesso ao certificado de outro. - Após um desenvolvedor sair da empresa, a equipe faz a rotação das chaves de API e do segredo usado para validar webhooks com HMAC, invalidando as credenciais antigas. - Uma empresa cria uma credencial específica e somente de leitura para um agente de IA conectado via MCP consultar o status de NF-e, sem permissão para emitir ou cancelar documentos. ## Perguntas frequentes ### Posso guardar a API Key em variáveis de ambiente? Variáveis de ambiente são melhores do que deixar a chave no código, mas ainda podem vazar em logs ou ferramentas de diagnóstico. Para ambientes de produção, o ideal é combiná-las com um cofre de segredos que controle acesso e registre o uso. ### De quanto em quanto tempo devo trocar um segredo? Não existe um prazo único. O recomendado é definir uma rotina periódica de rotação e trocar imediatamente sempre que houver suspeita de vazamento, saída de alguém com acesso ou exposição acidental, como uma chave enviada a um repositório. ### A senha do certificado digital A1 também é um segredo? Sim. O arquivo do certificado A1 e sua senha permitem assinar documentos fiscais em nome da empresa. Ambos devem ser guardados criptografados, com acesso restrito, e nunca enviados por e-mail ou mensagens sem proteção. ### O que fazer se uma chave de API vazar? Revogue a chave imediatamente, gere uma nova, atualize os sistemas que a usam e verifique os registros de acesso para identificar ações indevidas no período em que ela esteve exposta. ## Termos relacionados - [Key vault](https://conota.dev/glossario/key-vault.md) - [Key management service](https://conota.dev/glossario/key-management-service.md) - [Key rotation](https://conota.dev/glossario/key-rotation.md) - [API Key](https://conota.dev/glossario/api-key.md) - [Certificado digital A1](https://conota.dev/glossario/certificado-digital-a1.md) - [Kubernetes Secret](https://conota.dev/glossario/kubernetes-secret.md) --- Fonte: [Gerenciamento de segredos](https://conota.dev/glossario/gerenciamento-de-segredos/) · Atualizado em 2026-10-22