---
title: "Clau d'accés i clau secreta d'AWS: crear, rotar, compartir"
url: https://uselinkpilot.com/ca/blog/aws-access-key-and-secret-key
description: "Què són l'ID de clau d'accés i la clau secreta d'AWS, per què el secret es mostra una vegada, com rotar-les, què fer si es filtren i com compartir-les."
lang: ca
---

Seguretat (https://uselinkpilot.com/ca/blog/category/security)

# Clau d'accés i clau secreta d'AWS: com crear-les, fer-les servir, rotar-les i compartir-les de manera segura

Què són l'ID de clau d'accés i la clau secreta d'AWS, per què el secret es mostra una vegada, com rotar-les, què fer si es filtren i com compartir-les.

LinkPilot Team (https://uselinkpilot.com/ca/author/linkpilot-team) · Les persones que desenvolupen i gestionen LinkPilot a TetraCore, LLC 26 d’octubre del 2026 · Sobre LinkPilot (https://uselinkpilot.com/ca/about)

Una clau d'accés d'AWS consta de dues cadenes que, juntes, permeten que un programa actuï com un usuari d'IAM: l'ID de clau d'accés, que identifica la clau, i la clau d'accés secreta, que en demostra la possessió. La gent les cerca amb tres noms, access key i secret key, secret access key o simplement AWS secret key, i tots designen el mateix parell. El parell apareix en configuracions de la CLI, en pipelines d'integració contínua i, massa sovint, en un missatge de Slack.

Aquesta guia explica què són les dues meitats, com crear-les i configurar-les, com rotar-les sense aturar el servei, què fer quan se n'escapa una i la pregunta que torna cada vegada que s'incorpora un desenvolupador o comença un contractista: com fer arribar una clau secreta a una persona sense posar-la en un correu.

## ID de clau d'accés i clau d'accés secreta

| | ID de clau d'accés | Clau d'accés secreta |
| --- | --- | --- |
| Aspecte | `AKIAIOSFODNN7EXAMPLE` (20 caràcters) | 40 caràcters amb majúscules, minúscules i símbols |
| Funció | Identifica quina clau signa la sol·licitud | Signa la sol·licitud; demostra que la teniu |
| És secreta? | No, tracteu-la com un nom d'usuari | Sí, tracteu-la com una contrasenya |
| Es pot veure després? | Sí, a la consola d'IAM | Mai després de crear-la |

Les claus de llarga durada comencen per `AKIA`. Les credencials temporals d'STS, que també porten un testimoni de sessió, comencen per `ASIA` i caduquen soles. Si trobeu una clau `ASIA` en un fitxer de configuració, deixarà de funcionar en poques hores, i està pensada així.

Cap de les dues meitats no dona permisos. La clau s'autentica com un usuari d'IAM, i les polítiques associades a aquest usuari decideixen què pot fer aquella identitat. Una clau filtrada d'un usuari de només lectura és un problema. Una clau filtrada d'un administrador és un incident.

## Quan cal realment una clau de llarga durada

La resposta sincera: menys sovint del que es pensa.

- **Les càrregues de treball a AWS** (EC2, Lambda, ECS, EKS) haurien de fer servir rols d'IAM. L'SDK obté automàticament credencials de curta durada i no hi ha res per rotar ni per filtrar.
- **Les persones** haurien d'iniciar la sessió amb IAM Identity Center o amb un inici de sessió únic federat i obtenir credencials temporals amb `aws sso login`.
- **Els sistemes d'integració contínua**, com GitHub Actions, poden assumir un rol mitjançant OIDC sense cap clau desada.
- **Les claus de llarga durada** queden per als casos que no poden fer res de tot això: una eina en un portàtil sense suport per a l'inici de sessió únic, un servei de tercers que només accepta claus estàtiques, una tasca antiga que encara no heu migrat.

Si en necessiteu una, creeu-la en un usuari d'IAM dedicat amb la política més restringida que permeti fer la feina, i mai en el compte d'administrador d'una persona.

## Crear i configurar una clau

A la consola d'IAM, obriu l'usuari, trieu «Security credentials» i després «Create access key». Trieu el cas d'ús que demana AWS, llegiu l'alternativa que us proposa i continueu. El secret es mostra exactament una vegada. Deseu-lo directament al gestor de secrets o al gestor de contrasenyes, o baixeu el CSV i suprimiu-lo després d'importar-lo. Cada usuari d'IAM pot tenir com a màxim dues claus alhora, i això és el que fa possible la rotació.

En una màquina, configureu un perfil amb nom en lloc del perfil per defecte:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

Això escriu `~/.aws/credentials` i `~/.aws/config`. Restringiu el fitxer al vostre usuari amb `chmod 600`. Per a contenidors i integració contínua, injecteu `AWS_ACCESS_KEY_ID` i `AWS_SECRET_ACCESS_KEY` com a secrets des del magatzem de la plataforma, no com a variables en text pla en un fitxer YAML, i no les passeu mai en una línia d'ordres, perquè acaben a l'historial de l'intèrpret d'ordres.

## Rotar sense trencar res

La rotació és una seqüència de quatre passos, possible gràcies al límit de dues claus.

1. **Creeu la segona clau** al mateix usuari.
2. **Actualitzeu tots els consumidors** perquè facin servir la clau nova: configuracions, secrets de la integració contínua, l'entrada del gestor de secrets. La consola d'IAM mostra quan es va fer servir cada clau per última vegada, i així sabeu si se us n'ha escapat cap.
3. **Desactiveu la clau antiga.** Espereu un dia o un cicle de desplegament. Si alguna cosa falla, torneu-la a activar, corregiu el consumidor i torneu-ho a provar.
4. **Suprimiu la clau antiga** quan ja no la faci servir res.

Feu-ho periòdicament per a les claus que hagin d'existir, i davant de qualsevol esdeveniment per a totes: una baixa, un canvi de proveïdor, un portàtil perdut, una sospita de filtració. AWS Config i IAM Access Analyzer poden assenyalar les claus més antigues del que permet la vostra política.

## Quan una clau queda exposada

Considereu compromesa qualsevol clau que hagi aparegut en un repositori, un registre, un tiquet o un xat, encara que s'hagi suprimit un minut després. Els escàners troben els secrets publicats en qüestió de segons.

1. **Desactiveu la clau** a IAM ara mateix. No espereu a crear primer la substituta, tret que la interrupció sigui pitjor que l'exposició.
2. **Creeu-ne una de substituta** i actualitzeu els consumidors.
3. **Llegiu CloudTrail** per veure totes les accions fetes amb aquell ID de clau d'accés des de l'exposició. Busqueu usuaris o claus d'IAM nous, instàncies noves, polítiques de bucket modificades i regions que no reconegueu.
4. **Reviseu la factura** i Cost Explorer per si hi ha pics de despesa amb la forma típica de la mineria de criptomonedes.
5. **Traieu el secret** del codi, dels registres i de l'historial de git. AWS mateix pot associar la política `AWSCompromisedKeyQuarantine` a l'usuari quan detecta una filtració pública; deixeu-la on és fins que hàgiu acabat la neteja.
6. **Suprimiu la clau antiga** i després esbrineu per on hi va arribar i tanqueu aquella via.

## Com compartir una clau secreta d'AWS amb una persona

De vegades la clau ha d'arribar a una persona: un contractista que la necessita per a una eina de desplegament, un desenvolupador que entra en un projecte abans que s'hagi configurat l'inici de sessió únic, una integració d'un proveïdor que demana enganxar-la al seu tauler. El correu, Slack i els tiquets en conserven còpies, i un secret de 40 caràcters es pot llegir durant anys en qualsevol d'aquests llocs.

El procediment segur porta un minut:

1. **Creeu una clau per a aquella persona** en un usuari d'IAM dedicat, amb la política que necessita la seva tasca i res més. No compartiu una clau que faci servir cap altra cosa.
2. **Enganxeu només la clau d'accés secreta** en un enllaç secret d'un sol ús (https://uselinkpilot.com/ca/tools/free-secret-link-generator). Es xifra al vostre navegador abans de desar-se, la còpia desada es destrueix la primera vegada que s'obre l'enllaç, i l'enllaç caduca al cap d'una hora, un dia o una setmana si ningú no l'obre.
3. **Envieu l'enllaç** amb una línia de context. Envieu l'ID de clau d'accés, la regió i el nom del perfil en un missatge a part; cap d'aquestes dades no és secreta per si sola.
4. **Afegiu una frase de contrasenya amb un compte Pro** per a qualsevol clau que no sigui de només lectura, i comuniqueu-la per SMS o en una trucada.
5. **Confirmeu que l'han obert.** Si l'enllaç indica que ja s'ha vist i la persona no l'ha obert, desactiveu la clau i torneu a començar.
6. **Desactiveu la clau** quan acabi l'encàrrec, i suprimiu-la després.

La guia sobre claus d'API (https://uselinkpilot.com/ca/blog/how-to-share-api-keys-securely) aplica el mateix patró a altres proveïdors, i la guia sobre compartir enllaços de manera segura per a desenvolupadors (https://uselinkpilot.com/ca/blog/secure-link-sharing-for-developers) explica com automatitzar el lliurament amb scripts durant la incorporació.

## Lectures relacionades

- Com compartir claus d'API de manera segura: https://uselinkpilot.com/ca/blog/how-to-share-api-keys-securely
- Gestor de secrets al núvol: què és i com triar-ne un: https://uselinkpilot.com/ca/blog/cloud-secret-manager
- Com enviar de manera segura un accés temporal a una base de dades a un contractista: https://uselinkpilot.com/ca/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- Com funcionen els enllaços secrets d'un sol ús: https://uselinkpilot.com/ca/blog/how-one-time-secret-links-work

## Eines per a aquest article

Generador d'enllaços secrets d'un sol ús

Compartiu una contrasenya o una nota amb un enllaç que només s'obre una vegada.
https://uselinkpilot.com/ca/tools/free-secret-link-generator

Missatge que s'autodestrueix

Envieu una nota que desapareix després de llegir-la una vegada.
https://uselinkpilot.com/ca/tools/burn-after-read-secret

Generador d'enllaços amb caducitat

Creeu enllaços que deixen de funcionar en un moment determinat.
https://uselinkpilot.com/ca/tools/temporary-link

## Preguntes freqüents

### Puc tornar a veure la clau d'accés secreta d'AWS després de crear-la?

### L'ID de clau d'accés és el mateix que la clau d'accés secreta?

### On trobo l'ID d'una clau d'accés que ja existeix?

### Les claus d'accés donen permisos per si soles?

### Cal desactivar una clau abans de suprimir-la?

### Què he de fer si s'exposa una clau d'accés d'AWS?

## LinkPilot envia un enllaç secret que desapareix després d'obrir-lo.

Es xifra al vostre navegador, es mostra una sola vegada i després es destrueix. Sense compte.

Crea un enllaç secret (https://uselinkpilot.com/ca/tools/free-secret-link-generator)

## Llegiu també

Seguretat

### Compartir credencials SSH amb un enllaç que caduca

Millor la clau pública del destinatari. Si cal moure una clau privada o una contrasenya, envieu-la amb un enllaç d'un sol ús i el servidor i l'usuari a part.
https://uselinkpilot.com/ca/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Seguretat

### Com compartir credencials de manera segura sense correu

Quatre maneres de compartir una contrasenya sense correu, quan convé cadascuna i els passos per crear un enllaç temporal que es destrueix en obrir-se.
https://uselinkpilot.com/ca/blog/how-to-share-credentials-securely-without-email

Seguretat

### Com enviar a un client el secret de signatura d'un webhook

Lliureu el secret d'un webhook sense deixar còpies al correu ni en tiquets: destinatari verificat, enllaç d'un sol ús, bon desament i rotació si s'exposa.
https://uselinkpilot.com/ca/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Inici",
        "item": "https://uselinkpilot.com/ca"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/ca/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Clau d'accés i clau secreta d'AWS: crear, usar, rotar i compartir amb seguretat",
        "item": "https://uselinkpilot.com/ca/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/ca/blog/aws-access-key-and-secret-key#article",
    "headline": "Clau d'accés i clau secreta d'AWS: crear, usar, rotar i compartir amb seguretat",
    "description": "Què són l'ID de clau d'accés i la clau secreta d'AWS, per què el secret es mostra una vegada, com rotar-les, què fer si es filtren i com compartir-les.",
    "inLanguage": "ca",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/ca/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/ca/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Puc tornar a veure la clau d'accés secreta d'AWS després de crear-la?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. AWS mostra la clau d'accés secreta una sola vegada, en crear-la, i mai més. Si no la vau desar, desactiveu aquella clau i creeu-ne una de nova. L'ID de clau d'accés continua visible a la consola d'IAM."
        }
      },
      {
        "@type": "Question",
        "name": "L'ID de clau d'accés és el mateix que la clau d'accés secreta?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. L'ID de clau d'accés és un identificador públic, com un nom d'usuari, i en les claus de llarga durada comença per AKIA. La clau d'accés secreta és la meitat que fa de contrasenya i s'ha de mantenir confidencial. Les sol·licituds se signen amb totes dues."
        }
      },
      {
        "@type": "Question",
        "name": "On trobo l'ID d'una clau d'accés que ja existeix?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "A la consola d'IAM, dins de l'usuari, a la pestanya «Security credentials». El secret d'una clau existent no es pot recuperar; només en veureu l'ID, l'estat i l'última vegada que es va fer servir."
        }
      },
      {
        "@type": "Question",
        "name": "Les claus d'accés donen permisos per si soles?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. Una clau s'autentica com l'usuari d'IAM al qual pertany. El que pot fer és el que permetin les polítiques d'IAM associades a aquell usuari. Una clau sense polítiques no pot fer res; una clau d'un administrador ho pot fer tot."
        }
      },
      {
        "@type": "Question",
        "name": "Cal desactivar una clau abans de suprimir-la?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Sí. Primer desactiveu-la, espereu prou temps per comprovar que no s'ha trencat res i després suprimiu-la. Una clau desactivada es pot tornar a activar; una de suprimida, no."
        }
      },
      {
        "@type": "Question",
        "name": "Què he de fer si s'exposa una clau d'accés d'AWS?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Desactiveu-la immediatament a IAM, creeu-ne una de substituta i actualitzeu tot el que la feia servir, reviseu a CloudTrail les accions fetes amb la clau exposada, comproveu si hi ha recursos nous o canvis a IAM i traieu la clau del codi, dels registres i de l'historial de commits. Després esbrineu com es va filtrar."
        }
      }
    ],
    "inLanguage": "ca"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```