Credenciais de API expostas: o risco que agências de turismo raramente percebem

Um dado tão sensível quanto senha de banco

Credenciais de acesso a uma consolidadora — login, senha, developer-token, chave de API — dão a quem as tiver o poder de consultar e, em alguns casos, emitir vendas em nome da agência. Ainda assim, é comum encontrar esse tipo de dado guardado em planilha, e-mail ou arquivo de configuração sem nenhuma proteção.

Por que isso é mais grave do que parece

• Vazamento silencioso: um arquivo de configuração exposto publicamente (por engano, num servidor ou repositório) pode ficar acessível por meses sem ninguém perceber;
• Uso indevido: quem tem a credencial pode consultar o histórico de vendas da agência, ou em protocolos mais permissivos, até emitir em nome dela;
• Difícil de rastrear: sem controle de quem acessou o quê, é praticamente impossível saber se uma credencial exposta foi de fato usada por terceiros.

O mínimo que protege

1. Nunca guardar credencial em texto puro — usar criptografia no banco onde ela fica armazenada;
2. Nunca deixar credencial em código-fonte, nem em ambiente de teste;
3. Trocar a senha imediatamente se houver qualquer suspeita de exposição;
4. Restringir quem, dentro da agência, tem acesso de visualizar (não só de usar) a credencial.

Protocolo com chave assimétrica (RSA) ajuda, mas não substitui cuidado básico

Alguns protocolos de consolidadora usam criptografia RSA na comunicação — o que protege o dado em trânsito, mas não protege a credencial guardada de forma insegura do lado da agência. A responsabilidade pela guarda segura continua sendo de quem armazena.