Безопасность API-ключей

API-ключ в EdgeLab даёт доступ к MCP tools от имени пользователя. Если ключ утечёт, кто-то сможет вызывать personal tools как будто это твой агент.

Правило №1: не коммить ключ в git

Если ключ попал в репозиторий хотя бы на секунду, считай его скомпрометированным.

Добавь секреты в `.gitignore`

.env
.secrets/
*.key

Проверь историю на утечки

git log --all -p | grep -i "el_live_"

Если нашёл совпадение, сразу ротируй или удаляй ключ.

el_live_1a8c25f8b7165604

export EDGELAB_API_KEY="el_live_1a8c25f8b7165604"

Если ключ засветился, ротируй его через MCP tool rotate_api_key. Пример payload:

{
  "name": "rotate_api_key",
  "arguments": {
    "prefix": "el_live_1a8c25f8"
  }
}

После ротации старый ключ перестаёт работать сразу.

Если ключ больше не нужен, используй delete_api_key.

{
  "name": "delete_api_key",
  "arguments": {
    "prefix": "el_live_1a8c25f8"
  }
}

Регулярно вызывай list_api_keys и проверяй:

Ориентируйся на свой тариф:

Если агент получает rate_limit_exceeded, добавь backoff и убери частый polling.