Защита API-ключей
Изоляция и отзыв ключей проекта.
Разделяйте ключи по магазинам и режимам. Храните секреты на сервере в хранилище секретов, не в коде браузера. При ротации сначала создайте и установите замену, затем отзовите старый ключ. Ключ привязан к проекту; X-Project-Id не позволяет его переопределить.
См. авторизацию: границы интеграции и управления различаются. Разделяйте секреты Test и Live, храните их только на доверенном сервере и исключайте из журналов. Скомпрометированный ключ нужно отозвать и проверить его использование.