L'utilisation "exacte" d'une clé API dépend en grande partie de la personne qui l'émet et des services pour lesquels elle est utilisée. En général, cependant, une clé API est le nom donné à une forme de jeton secret qui est soumis avec les demandes de services web (ou similaires) afin d'identifier l'origine de la demande. La clé peut être incluse dans un condensé du contenu de la demande afin de vérifier davantage l'origine et d'empêcher la falsification des valeurs.
En règle générale, si vous pouvez identifier positivement la source d'une demande, cela constitue une forme d'authentification, qui peut conduire à un contrôle d'accès. Par exemple, vous pouvez restreindre l'accès à certaines actions de l'API en fonction de l'auteur de la demande. Pour les entreprises qui gagnent de l'argent en vendant de tels services, c'est aussi un moyen de savoir qui utilise l'outil à des fins de facturation. De plus, en bloquant une clé, vous pouvez partiellement empêcher les abus en cas de volumes de demandes trop élevés.
En général, si vous disposez d'une clé d'API publique et d'une clé d'API privée, cela signifie que les clés sont elles-mêmes des paires de clés publiques/privées traditionnelles utilisées dans une certaine forme de cryptographie asymétrique ou dans un domaine connexe, la signature numérique. Il s'agit de techniques plus sûres permettant d'identifier avec certitude la source d'une demande et, en outre, de protéger le contenu de la demande contre l'espionnage (en plus de la falsification).
