Как часто ротировать API-ключи?

Практика: плановый регламент — например, раз в квартал — плюс внеплановая ротация при уходе подрядчика, подозрительных списаниях и любой утечке. Порядок безопасный: выпустить новый ключ, обновить secret store и конфигурации, проверить коротким запросом, затем отозвать старый.

Раздельные ключи на окружения позволяют ротировать без остановки продукта: prod, бот и эксперименты меняются независимо. После ротации загляните в историю трат старого ключа — убедитесь, что чужих списаний не было.