- **Non condividerla** via chat, email non cifrata, né incollarla in nessun posto pubblico. - **Non caricarla in un repository di codice** (nemmeno privato): usa variabili d'ambiente o un gestore di segreti. - **Un nome descrittivo per integrazione**, non riutilizzare la stessa chiave per tutto — così, se qualcosa va storto, revochi solo quella interessata senza tagliare il resto. - **Ruota periodicamente** le chiavi di lunga durata (revocare + creare, paragrafo 9), soprattutto quelle dell'azienda, che agiscono come admin. - **Revoca immediatamente** qualsiasi chiave che sospetti trapelata — non c'è «pausa», solo revoca definitiva.