Resumo

  • Desde 28 de julho de 2026, chamadas REST da ARIN podem enviar o token pelo cabeçalho Authorization; contas de serviço não humanas também passaram a ser aceitas. O token na URL continua funcionando.
  • As sugestões 2022.5 e 2022.11, apresentadas em 2022, foram fechadas depois que as mudanças entraram no ar.

URL é endereço, não cofre. Sistemas que registram requisições costumam guardar a URL inteira. Quando a chave de API vai no parâmetro da URL, o log também ganha uma cópia da credencial. É uma lembrança que ninguém pediu.

A atualização de 28 de julho trouxe a opção Authorization: ApiKey <API_KEY>. A ARIN a recomenda como alternativa mais segura ao parâmetro na URL, que segue aceito. O ganho é direto: o segredo deixa de fazer parte do endereço da chamada e sai do caminho dos registros que salvam esse endereço.

A sugestão 2022.5, enviada em 11 de fevereiro de 2022, já descrevia esse problema. O autor observou que logs frequentemente registram a URL inteira, expondo o token a pessoas com acesso aos arquivos. A ARIN concordou que o cabeçalho era a melhor alternativa e incluiu o trabalho no roteiro de engenharia. A proposta foi encerrada em 29 de julho de 2026, um dia após a publicação da função.

A mesma versão eliminou a restrição que barrava contas de serviço não humanas na criação de conta. A sugestão 2022.11 pediu esse tipo de identidade para integrações programáticas. A resposta inicial da ARIN explicou a preocupação: identificar quem havia feito alterações pela API. Em abril de 2022, a equipe já reconhecia que contas de função ou de serviço ajudariam os clientes e que liberar a criação exigia pouco trabalho. A autorização finalmente chegou mais de quatro anos depois.

As duas mudanças cuidam de camadas diferentes. O serviço ganha uma identidade própria; a chave ganha outra forma de viajar. A documentação Reg-RWS da ARIN continua exigindo que a conta esteja vinculada a um Point of Contact autorizado a alterar o registro. A chave autentica a chamada. A autoridade do POC define quais registros podem ser modificados.

A cartilha de API keys diz que elas não expiram, podem ser desativadas a qualquer momento e só são exibidas por inteiro na criação. Também permite múltiplas chaves para acompanhar solicitações ou acesso a relatórios. Em 2024, uma consulta tratou tanto do cabeçalho quanto de limites por faixa de IP. A resposta da ARIN separou os assuntos: o cabeçalho entraria no plano; a limitação por IP ainda precisava ser estudada e dimensionada. A atualização de julho de 2026 anunciou a primeira mudança.

Agora a automação tem crachá próprio e a chave pode deixar a URL. Operadores ainda precisam escolher quem responde por cada conta de máquina e quem tem autorização para desligar sua credencial.

Fontes