# Segurança de tokens e credenciais no Bot do Afiliado

> Seus tokens, chaves e dados de afiliado ficam guardados protegidos no Bot do Afiliado. Veja o que fazer para manter a sua conta segura e o que fazer se algo vazar.

- URL: https://botdoafiliado.com/docs/referencia/seguranca-e-tokens/
- Publicado em: 2026-05-29
- Atualizado em: 2026-11-08
- Índice da documentação para IA: https://botdoafiliado.com/llms.txt

O Bot do Afiliado guarda protegidos o token do seu bot do Telegram, as suas chaves de API e os seus dados de afiliado. Nada disso aparece aberto na tela. Veja o que fica protegido e o que você pode fazer para manter a conta segura.

## O que fica protegido

- **Token do Telegram:** guardado criptografado e nunca mostrado no painel.
- **Dados de afiliado das lojas:** guardados criptografados no seu workspace e usados só para gerar os seus links. Você atualiza ou remove quando quiser.
- **Chaves de API:** aparecem inteiras só quando você cria (no aviso **Chave criada no nível … (copie agora)**). Depois, o painel mostra só o começo da chave.
- **Token da Meta, chave do Google Analytics e segredo de webhook:** guardados cifrados e não voltam para a tela. O segredo do webhook aparece uma vez só, quando é criado.
- **Conexões de IA:** o ChatGPT ou o Claude só usam as permissões que você aceitou ao conectar.

O dono e os administradores do workspace podem ver uma chave de API de novo em **Mostrar**, na tela **Configurar › API e IA (MCP)**, e cada vez fica registrada. Chaves mais antigas não dá para mostrar de novo: gere outra.

## O que você deve fazer

1. **Ligue a verificação em duas etapas** em **Conta e organização › Perfil e segurança** ([Perfil e segurança da conta](/docs/comecando/perfil-e-seguranca/)).
2. **Use uma chave de API para cada integração** e revogue as que não usa.
3. **Nunca cole token ou chave** em site, post, grupo ou código público.
4. **Dê acesso ao workspace só a quem você confia.**

## Se você suspeitar de vazamento

- **Token do Telegram:** gere um novo no BotFather e troque em **Configurar › Perfil e acesso**, com **Trocar token**. O antigo deixa de valer. Se o bot foi criado pelo painel, use **Gerar token novo**, no card **Segurança do bot**.
- **Chave de API:** clique em **Revogar** na lista **API Keys** da tela **Bots** (pela busca, **Ir para Bots**). A chave para de funcionar na hora.
- **Conta aberta em outro aparelho:** encerre em **Sessões ativas**, na tela de [Perfil e segurança](/docs/comecando/perfil-e-seguranca/).
- **App de IA que você não usa mais:** desconecte em **Conexões de IA ativas**.

## Próximos passos

- Proteja o login em **[Perfil e segurança da conta](/docs/comecando/perfil-e-seguranca/)**.
- Troque o token do bot em **[Perfil e acesso](/docs/comecando/configuracoes-do-bot/)**.
- Veja como usar as chaves na **[visão geral da API](/docs/api/visao-geral/)**.

## Perguntas frequentes

### O meu token do Telegram aparece no painel?

Não. Ele é guardado criptografado e não aparece aberto na tela.

### Consigo ver de novo uma chave de API que já criei?

O dono e os administradores do workspace podem ver de novo em Mostrar, na tela Configurar › API e IA (MCP). Chaves mais antigas não dá para mostrar de novo; nesse caso, gere outra.

### Acho que o meu token vazou. O que faço?

Gere um token novo no BotFather e troque no painel em Configurar › Perfil e acesso, com Trocar token. O token antigo deixa de valer.

### Onde ligo a verificação em duas etapas?

No menu Conta e organização, em Perfil e segurança. O passo a passo está em Perfil e segurança da conta.