API Key

Una API key è un token di autenticazione univoco che identifica e autorizza la tua applicazione quando effettua richieste API a SendSeven. Funziona come una credenziale digitale che dimostra di avere il permesso di accedere all'API.

Che cos'è una API key?

Una API key (chiamata anche token o chiave di accesso) è una stringa univoca, solitamente alfanumerica, che funge da meccanismo di autenticazione per l'accesso alla API. Dopo la registrazione su SendSeven ricevi una API key che la tua applicazione invia con ogni richiesta, in genere come Bearer Token nell'header Authorization. La API key non solo identifica il tuo account, ma controlla anche permessi, rate limit e fatturazione.

Tecnicamente la chiave viene verificata a ogni richiesta HTTP: corrisponde a una chiave attiva nel database? L'account associato è attivo? Dispone di credito sufficiente? Solo dopo una validazione riuscita la richiesta viene elaborata. Questa architettura protegge sia i tuoi dati sia l'infrastruttura dagli abusi.

Perché la API key è importante?

La API key è la barriera di sicurezza centrale tra l'internet pubblico e la tua infrastruttura di messaggistica. Nessuna chiave, nessun accesso all'API: è davvero così semplice. Impedisce a soggetti non autorizzati di inviare messaggi a tuo nome, leggere i contatti o manipolare i webhook. Allo stesso tempo consente un tracciamento preciso: quale applicazione ha effettuato quante richieste? Dove si è verificato un errore?

Un aspetto spesso sottovalutato: le API key sono centri di costo. Ogni messaggio inviato viene attribuito alla chiave associata. Se gestisci più applicazioni (ad esempio uno strumento di marketing, un sistema di assistenza, un'automazione), conviene utilizzare chiavi separate: così puoi analizzare utilizzo e costi in modo granulare. SendSeven consente più chiavi per account, ciascuna con un proprio nome e permessi eventualmente limitati.

Best practice per la sicurezza delle API key

Non esporre mai nel frontend: le API key vanno esclusivamente nel codice backend. Il codice JavaScript nel browser è leggibile pubblicamente, una chiave inserita lì viene compromessa in pochi secondi. Utilizza invece un endpoint backend dedicato che gestisce la chiave in modo sicuro e inoltra le richieste a SendSeven.

Variabili d'ambiente: non memorizzare mai le chiavi direttamente nel codice sorgente. Utilizza variabili d'ambiente (file .env) ed escludile esplicitamente dal controllo di versione (.gitignore). Così eviti fughe accidentali su GitHub o GitLab.

Rotazione periodica: come le password, anche le API key dovrebbero essere rinnovate regolarmente, soprattutto dopo cambi di personale o in caso di sospetta compromissione. SendSeven consente di creare nuove chiavi mantenendo attive in parallelo quelle vecchie (per una migrazione graduale).

Monitoraggio: tieni d'occhio l'utilizzo dell'API per individuare anomalie. Improvvisamente 10.000 richieste al minuto? Una chiave compromessa potrebbe essere usata per inviare spam, a tue spese e a danno della tua reputazione.

Gestione delle API key con SendSeven

Nella dashboard di SendSeven crei le API key con pochi clic. Ogni chiave riceve un nome (ad esempio "Server di produzione", "Ambiente di test"), una data di creazione e, facoltativamente, permessi limitati (ad esempio solo lettura, senza invio). Puoi disattivare o eliminare le chiavi in qualsiasi momento: le richieste in corso con una chiave disattivata vengono immediatamente respinte con HTTP 401 (Unauthorized).

L'API di SendSeven utilizza lo schema Bearer Token. Per maggiori dettagli sull'autenticazione API consulta la guida. Le tue richieste avranno questo aspetto:

Authorization: Bearer LA_TUA_API_KEY

Tutte le richieste passano tramite HTTPS (TLS 1.3), in modo che la chiave venga trasmessa criptata. Rate limit e gestione degli errori sono documentati su docs.sendseven.com, inclusi esempi di codice per Node.js, Python e PHP.