概述
直接吊销旧密钥会让尚未迁移的消费方立即中断。先并行签发新密钥并给出重叠窗口，用用量遥测确认流量已迁移，再吊销旧密钥，可把轮换从一次冒险变为一次平稳交接。
关键步骤
- 签发新密钥并通过安全渠道交付。
- 在定义的重叠窗口内同时接受新旧密钥。
- 监控每把密钥的用量。
- 窗口过后吊销旧密钥并确认无残留调用。
验证
- 新密钥承担预期流量。
- 冷却期内旧密钥调用为零。
- 旧密钥被吊销。
- 消费方未经历认证中断。
决策点
重叠窗口至少应覆盖一个完整用量周期；若到期仍在用旧密钥，应确认后再吊销，未解释的调用往往意味着无人认领的集成。
适用范围
本条目围绕「API 密钥轮换工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
# issue new key, keep both active
curl -X POST https://api.example.com/keys -H "Authorization: Bearer $ADMIN" -d '{"label":"2026-10"}'
# after overlap, revoke old
curl -X DELETE https://api.example.com/keys/old-key-id -H "Authorization: Bearer $ADMIN"