两把密钥，一个迁移窗口
轮换是一次迁移，不是开关。签发新密钥，在有界窗口内同时接受两者，并跟踪哪些客户端仍使用旧密钥。确认泄露时跳过重叠期立即吊销；事件响应优先于客户端便利。
key_old -> accepted until 2026-11-15
key_new -> active
usage by key_id -> dashboard让使用情况可见
记录 key id，而不是密钥值。按 key id 展示请求数的仪表盘能告诉你迁移何时完成。联系仍使用旧密钥的客户端负责人并设定吊销日期。不要基于猜测吊销。
吊销并验证
禁用旧密钥，确认使用它的请求返回 401。观察错过迁移的客户端错误率。只有在重新启用旧密钥不会重新引入泄露时，才保留短暂回滚窗口。记录轮换和下一次到期日期。
验证轮换
预期结果：新旧密钥在窗口内都可用，仪表盘显示旧密钥使用量下降；吊销后旧密钥返回 401，新密钥继续工作。用两种密钥的请求和监控确认。