La API necesita saber quién llama
Una API pública no abre su puerta a cualquiera: necesita saber quién llama, con qué permiso y a quién cobrarle. Para eso existen las llaves (API keys) y los tokens: credenciales que tu app adjunta a cada petición.
Piensa en el token como la pulsera de un hotel: mientras la llevas, el servicio te reconoce y te deja pasar. Sin ella, no hay forma de saber que eres tú.
Dónde SÍ y dónde NUNCA va una llave
| Lugar | ¿Va la llave ahí? | Por qué |
|---|---|---|
| Variable de entorno del servidor | Sí | Vive fuera del código y no se sube al repositorio |
| Archivo de código a la vista | No | Cualquiera que vea el código la ve |
| Repositorio público | No | Queda expuesta al mundo en segundos |
| En el navegador del usuario | No | El cliente puede extraerla y robarla |
Una variable de entorno es un valor que vive en la máquina donde corre tu app, no dentro del código. El código dice 'lee la llave del entorno' en vez de 'aquí está mi llave escrita'. Así puedes compartir y versionar el código sin compartir el secreto.
¿Dónde pongo esta llave?
Vas a construir una app con IA que usa una API de pago. ¿Cuál es la práctica correcta con la llave?
Si por accidente subiste tu llave a un repositorio, basta con borrar el commit para que esté a salvo.
Clasifica cada práctica de manejo de llaves.
Arrastra cada ficha a su categoría (o tócala y luego toca la categoría). También puedes usar el teclado.
Escribe tu plan de manejo de llaves para tu producto: dónde guardarás cada secreto, quién más podría verlo y qué harías si sospechas que una se filtró.
Incluye una acción concreta para la contingencia: quién revoca y cómo, sin pánico.
Tu texto se guarda sólo en este dispositivo.
- El token es la pulsera que autoriza tus llamadas.
- El secreto vive en el servidor (variable de entorno), no en el código ni en el navegador.
- Ante una fuga: revocar y regenerar, no solo borrar.
Siguiente paso: Webhooks, errores y costos — cuando el servicio te avisa a ti, y cómo leer sus señales cuando algo falla.
Comentarios
Inicia sesión para comentar.
Todavía no hay comentarios. Sé la primera persona en opinar.