As cinco
1. Uma chave por integração. Revogar uma não derruba as outras, e o registro de último uso diz qual está viva.
2. A chave nunca vai para o navegador. Ela vale para servidor. Chave num trecho de código do site fica visível para qualquer visitante.
3. Revogue ao desligar a integração. Chave esquecida ativa é acesso total à empresa sem dono.
4. Confira a assinatura dos webhooks. Sem isso, qualquer um que descubra o seu endereço manda dados para ele.
5. Olhe o "nunca usada". Chave criada e nunca usada costuma ser chave esquecida num teste.
Se uma chave vazou
Revogue naquele momento. Depois crie outra e atualize a integração. Nessa ordem: revogar primeiro é o que fecha a porta.
O registro de alterações
Criação e revogação de chave ficam no registro de alterações da conta. Veja Registro de alterações.