Como proteger chaves de API no n8n sem expor seus segredos

O jeito mais seguro de usar uma chave de API no n8n é criar uma credencial e selecionar essa credencial no nó que fará a conexão. Não coloque o segredo em um campo de texto do workflow, no nó Code, em uma planilha ou em uma mensagem de teste que possa parar em logs.

Isso vale para chaves da OpenAI, Google, Telegram, serviços de pagamento e qualquer API externa. O n8n foi feito para separar a autenticação da lógica do fluxo: o workflow diz o que fazer, enquanto a credencial guarda como o serviço será acessado.

Por que não colar a chave diretamente no workflow

Uma chave escrita em um nó parece inofensiva, mas pode aparecer em exportações JSON, capturas de tela, histórico de alterações, mensagens de erro ou cópias compartilhadas com outra pessoa. É o tipo de vazamento que acontece quando todo mundo acredita que “só a equipe vê esse fluxo”.

O risco também existe quando a chave fica em um campo de texto usado para montar uma URL, em um nó Code ou em uma variável enviada para outra etapa. Mesmo que o workflow funcione, você perde a separação entre código de automação e segredo de acesso.

Se uma chave vazar, a ação correta é revogá-la no serviço que a emitiu e criar outra. Apagar o valor do workflow não desfaz cópias antigas, logs ou exportações já distribuídas.

Como criar uma credencial no n8n

1. Abra o n8n e entre em Credentials no menu lateral.
2. Selecione New credential e pesquise pelo serviço que você quer conectar. Se não existir uma integração pronta, use uma credencial de API compatível com o nó HTTP Request.
3. Preencha a chave, o token ou os dados de OAuth solicitados pelo próprio formulário da credencial.
4. Dê um nome que ajude a identificar o uso, como OpenAI - atendimento ou Telegram - alertas internos. Evite colocar a chave no nome.
5. Salve e use o botão de teste, quando o serviço oferecer essa opção.

A documentação do n8n mantém as credenciais em uma área própria e permite reutilizá-las em nós compatíveis. O nome exato dos campos muda conforme o serviço, então siga a documentação da integração em vez de forçar uma configuração genérica.

Como usar a credencial em um workflow

Adicione o nó que fará a chamada, abra a seção de autenticação e escolha a credencial salva. No HTTP Request, por exemplo, a autenticação deve ficar na opção de credenciais do nó, e não em um cabeçalho escrito manualmente em Headers.

Depois, faça um teste com uma operação que não altere dados. Para uma API de pagamentos, prefira consultar um registro de teste; para uma API de mensagens, use um ambiente de testes ou um destinatário interno. O objetivo é validar a autenticação sem disparar uma ação irreversível.

Se você estiver criando um endpoint para receber dados, o nó Webhook do n8n permite exigir Basic Auth, Header Auth ou JWT Auth. Isso protege a porta de entrada do workflow; não confunda essa autenticação com a credencial usada depois para chamar outro serviço. São duas fronteiras diferentes.

Exemplo simples: enviar um alerta sem expor o token

Imagine uma pequena loja que quer avisar a equipe no Telegram quando um formulário recebe um pedido:

1. O formulário envia os dados para um Webhook do n8n.
2. Um nó de validação confere se nome, telefone e pedido existem.
3. O nó do Telegram usa uma credencial criada para o bot.
4. A mensagem é montada com os dados do pedido, mas nunca inclui o token do bot.
5. Um teste é feito com um pedido fictício antes de ativar o fluxo.

Esse desenho é mais fácil de manter: se o token mudar, você troca a credencial e não precisa editar todos os workflows. Para um fluxo de triagem de e-mails, a mesma lógica evita espalhar a senha ou o OAuth por várias etapas — veja também nosso guia sobre triagem automática de e-mails com n8n, Gmail e Google Sheets.

Cuidados extras no n8n instalado no seu servidor

Em uma instalação self-hosted, a chave de criptografia da instância é uma peça crítica. A documentação do n8n informa que a aplicação cria uma chave aleatória na primeira inicialização e a usa para criptografar as credenciais antes de salvá-las no banco de dados. Para ter controle operacional, o administrador pode definir uma chave própria com N8N_ENCRYPTION_KEY.

Defina essa variável antes de colocar a instância em produção, armazene o valor em um gerenciador de segredos e limite o acesso ao arquivo de configuração ou ao ambiente do processo. Não publique a chave de criptografia em um repositório e não a envie junto com um backup do banco. Sem ela, uma restauração pode não conseguir descriptografar as credenciais.

Também vale separar permissões: quem só precisa executar um workflow não deveria ter o mesmo acesso administrativo de quem cria credenciais. Mantenha o n8n atualizado, proteja a interface com HTTPS e evite deixar a área de administração exposta diretamente à internet sem uma camada de autenticação adequada.

O que evitar em equipes e exportações

• Não versionar exportações com segredos: revise o JSON antes de enviá-lo ao GitHub, a um fórum ou a um colega.
• Não usar uma chave de produção em testes: crie chaves com escopo e permissões menores quando o provedor permitir.
• Não registrar o corpo completo das requisições: dados pessoais e tokens podem parar no histórico de execução.
• Não compartilhar uma única credencial sem necessidade: nomes, permissões e responsáveis claros facilitam a revogação.
• Não tratar “funcionou” como auditoria: confirme também quem pode editar o workflow e quem consegue abrir as credenciais.

Como testar se a configuração ficou segura

Antes de publicar o workflow, faça esta verificação:

1. Exporte uma cópia de teste e pesquise por prefixos comuns de tokens, como sk-, Bearer e AIza.
2. Abra cada nó HTTP ou de integração e confirme que ele aponta para uma credencial, em vez de carregar um segredo digitado manualmente.
3. Execute uma chamada que apenas consulte dados e confira se a resposta não imprime o token.
4. Revise o histórico de execução com uma conta sem privilégios administrativos.
5. Documente onde revogar a chave e quem será avisado se houver suspeita de vazamento.

O teste mais importante é simples: outra pessoa deve conseguir entender o workflow sem receber a chave que faz a integração funcionar. Se o segredo aparece para explicar o fluxo, ele está no lugar errado.

Perguntas frequentes

O n8n criptografa as credenciais?

Sim. A documentação do n8n explica que a instância usa uma chave de criptografia para proteger credenciais antes de salvá-las no banco. Isso não elimina a necessidade de restringir acessos, proteger backups e cuidar dos logs.

Posso guardar a chave em uma variável de ambiente?

Em uma instalação própria, variáveis de ambiente podem ajudar a configurar a instância e alguns recursos administrativos. Para credenciais usadas por nós, prefira o sistema de Credentials do n8n e siga a documentação específica da integração.

O que fazer se uma chave aparecer em um workflow exportado?

Revogue a chave no provedor imediatamente, gere outra e revise logs, repositórios e cópias que possam conter o valor antigo. Remover o texto do workflow, sozinho, não invalida o segredo.

Webhook e credencial de API são a mesma coisa?

Não. A autenticação do Webhook controla quem pode iniciar o workflow. A credencial de API controla como o workflow acessa outro serviço. Um fluxo pode precisar das duas proteções.

Fontes consultadas: documentação oficial do sistema de credenciais do n8n, do uso de uma chave de criptografia própria, do nó Webhook e das credenciais de Webhook. Consultado em 25 de agosto de 2026.