答案已發布16 個來源
Google Cloud API 金鑰刪除後仍可能運作長達 23 分鐘
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。 原因是金鑰撤銷需要在 Google 的分散式基礎設施中逐步傳播，並非所有伺服器會同時更新。 在修正之前，組織應假設刪除金鑰仍存在短暫風險窗口，並透過監控、限制與金鑰輪替降低影響。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
當開發者在 Google Cloud 中刪除 API 金鑰時，通常會認為該憑證會立即失效。但資安公司 Aikido Security 的研究顯示，實際情況並非如此：被刪除的金鑰仍可能在一段時間內繼續通過驗證並使用 API。
研究人員測試發現，在刪除金鑰後的一段時間內，系統仍會接受該金鑰的請求。實驗結果顯示：
- 最短仍可使用：約 8 分鐘
- 最長可達：約 23 分鐘
- 中位數：約 16 分鐘
也就是說，即使 Google Cloud 控制台顯示金鑰已被刪除，平台某些節點仍可能短暫接受該金鑰進行 API 驗證。
為什麼會出現「刪除但仍有效」的情況
核心原因在於 分散式系統的設定傳播延遲（propagation delay）。
Google Cloud 的驗證服務由多個後端系統組成。當 API 金鑰被刪除時，撤銷訊息需要在整個基礎設施中逐步同步，而不是同一瞬間在所有伺服器生效。
因此可能出現這種情況：
- 有些伺服器已拒絕該金鑰
- 但其他伺服器尚未更新，仍接受請求
Aikido 在兩天內進行了 10 次測試，每次建立新金鑰後立即刪除，並持續發送驗證請求，直到完全失效為止，最終得到 8–23 分鐘的可用窗口。
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
大家也會問
「Google Cloud API 金鑰刪除後仍可能運作長達 23 分鐘」的簡短答案是什麼？
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。
最值得優先驗證的重點是什麼？
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。 原因是金鑰撤銷需要在 Google 的分散式基礎設施中逐步傳播，並非所有伺服器會同時更新。
接下來在實務上該怎麼做？
在修正之前，組織應假設刪除金鑰仍存在短暫風險窗口，並透過監控、限制與金鑰輪替降低影響。
來源
- helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
- gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
- techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
- cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion
- aikido.devGoogle API keys keep working after you delete them - Aikido Security