# Key vault > Key vault é um cofre digital usado para guardar, de forma protegida e centralizada, informações sensíveis como chaves de API, senhas, tokens e certificados digitais. Em vez de ficarem espalhados no código ou em arquivos, esses segredos são acessados apenas por sistemas e pessoas autorizados, com registro de cada uso. **Também conhecido como:** Cofre de chaves, Cofre de segredos, Vault de segredos, Keyvault, Key vault **Glossário:** [Glossário de A a Z](https://conota.dev/glossario/) · **Letra:** K ## O que é um key vault, em termos simples? Pense em um key vault como um cofre de banco para dados que não podem vazar. Em vez de guardar dinheiro, ele guarda segredos digitais: a chave que dá acesso a uma API, a senha de um banco de dados, o arquivo de um certificado digital e a senha que o protege. O nome vem do inglês e significa literalmente cofre de chaves. Na prática, é um serviço ou software especializado que armazena esses itens de forma criptografada e só os entrega a quem tem permissão, deixando registrado quem pediu, quando e o quê. ## Para que serve um key vault na emissão fiscal por API? Um sistema que emite notas fiscais por API lida com dois segredos muito valiosos: a chave de acesso à API fiscal e, muitas vezes, o certificado digital A1 da empresa emissora, com sua senha. Quem tiver esses dados pode emitir ou cancelar documentos em nome da empresa. Guardar esses itens em um key vault evita que fiquem expostos no código-fonte, em planilhas, em mensagens internas ou em arquivos de configuração copiados entre servidores. Isso reduz o risco de vazamento e facilita cumprir exigências de segurança e auditoria. Para ERPs, marketplaces e plataformas que atendem muitos CNPJs, o cofre também ajuda a organizar dezenas ou centenas de certificados e chaves, separando o que pertence a cada cliente. ## Como funciona um key vault? Primeiro, o segredo é cadastrado no cofre, que o armazena criptografado. Depois, cada aplicação ou pessoa recebe uma identidade e permissões específicas, por exemplo, apenas ler a chave da API fiscal, sem poder alterá-la. Quando o sistema precisa emitir uma NF-e, ele se autentica no cofre, busca a chave no momento do uso e a envia no header de autenticação da requisição. O segredo não fica gravado no código, e cada acesso gera um registro que pode ser consultado depois. Muitos cofres também permitem versionar segredos e trocá-los periodicamente, prática conhecida como key rotation, sem precisar reinstalar a aplicação. ## Qual a diferença entre key vault, key management service e keystore? O key vault é o cofre de uso geral para segredos: senhas, tokens, chaves de API e certificados. O key management service é focado em criar e controlar chaves criptográficas usadas para cifrar e decifrar dados, muitas vezes sem que a chave saia do serviço. Já o keystore é um arquivo ou repositório que guarda certificados e chaves privadas em um formato específico, como o arquivo de um certificado A1. Um keystore pode, inclusive, ficar guardado dentro de um key vault. ## Quais boas práticas ao usar um key vault? Conceda o menor acesso possível: cada sistema deve ler apenas os segredos de que realmente precisa. Separe segredos de homologação e de produção, para que um teste nunca use a chave real da empresa. Troque chaves periodicamente e sempre que houver suspeita de vazamento, acompanhe os registros de acesso e evite copiar o segredo para logs ou mensagens de erro. Também vale controlar a validade dos certificados guardados, para que não expirem sem aviso. ## Exemplos de Key vault - Um ERP guarda a chave da API fiscal em um key vault e a busca no momento de enviar o payload de emissão, em vez de deixá-la escrita no código. - Uma plataforma que atende vários lojistas armazena o certificado A1 e a senha de cada CNPJ em um key vault, com acesso restrito ao serviço responsável pela emissão. - Após um desenvolvedor deixar a empresa, a equipe gera uma nova chave de API, atualiza o valor no key vault e todos os serviços passam a usar a nova versão sem alterar código. - Na auditoria interna, a equipe consulta o registro do key vault para verificar quais aplicações leram a chave de produção da API fiscal no último mês. ## Perguntas frequentes ### Preciso de um key vault para integrar uma API fiscal? Não é obrigatório, mas é altamente recomendado. Sem um cofre, chaves e certificados tendem a ficar espalhados em arquivos e códigos, aumentando o risco de vazamento e de emissões indevidas em nome da empresa. ### Key vault serve só para guardar senhas? Não. Ele guarda vários tipos de segredos: chaves de API, tokens, senhas, strings de conexão e certificados digitais com suas chaves privadas, sempre com controle de acesso e registro de uso. ### Variáveis de ambiente substituem um key vault? Não totalmente. Variáveis de ambiente evitam colocar segredos no código, mas não oferecem, sozinhas, criptografia centralizada, controle fino de permissões, versionamento nem registro de quem acessou cada segredo. ## Termos relacionados - [Gerenciamento de segredos](https://conota.dev/glossario/gerenciamento-de-segredos.md) - [Key management service](https://conota.dev/glossario/key-management-service.md) - [Key rotation](https://conota.dev/glossario/key-rotation.md) - [Keystore de certificados digitais](https://conota.dev/glossario/keystore-de-certificados-digitais.md) - [Certificado digital A1](https://conota.dev/glossario/certificado-digital-a1.md) - [API Key](https://conota.dev/glossario/api-key.md) --- Fonte: [Key vault](https://conota.dev/glossario/key-vault/) · Atualizado em 2026-10-22