El bloque Seguridad de Cuenta (consulta "Dar a los usuarios de tu aplicación su propia autenticación de dos factores") también permite que un visitante con sesión iniciada genere su propia clave de API personal. Esta es una clave emitida por un usuario final, para sí mismo, así puede llamar a la propia API de registros de tu aplicación publicada desde su propio script o herramienta, no tiene nada que ver con las claves del Constructor de API REST de tu proyecto (un tipo de proyecto completamente distinto) ni con las credenciales OAuth que conectas desde tu pestaña Integraciones (esas son tuyas, esta es de ellos).
Qué puede hacer una clave de API
Una clave puede hacer exactamente lo que ese mismo visitante ya podría hacer con sesión iniciada a través de una sesión normal de navegador, leer y escribir los registros, colecciones, y alcances a los que su cuenta ya tiene acceso, nada más. No puede ver ni actuar sobre los registros privados de otro visitante, y no puede acceder a nada que una colección solo para administradores restrinja de ese rol de visitante.
Crear y revocar una clave
Desde el panel Seguridad de Cuenta, un visitante le da a su clave una etiqueta (así puede distinguir varias claves más tarde) y la genera. La clave completa se muestra exactamente una vez, al crearla, guárdala en algún lugar seguro, no se puede recuperar después, solo reemplazar por una nueva. El panel lista la etiqueta de cada clave, cuándo se creó, y cuándo se usó por última vez, y cualquier clave puede revocarse en cualquier momento, terminando su acceso de inmediato.
Usar la clave
Envíala como un token Bearer, una cabecera Authorization: Bearer <clave>, en las solicitudes a la API de registros de tu aplicación. Tiene un límite de frecuencia al menos tan estricto como una sesión normal con sesión iniciada, ya que un script es más fácil de ejecutar a gran volumen que alguien haciendo clic por un navegador.
Consejo: Si una clave llega a exponerse por accidente, revocarla desde el panel Seguridad de Cuenta tiene efecto de inmediato, la respuesta más segura siempre es revocar y generar una nueva en lugar de intentar averiguar si realmente se usó mal.