La API necesita saber quién llama

5G - Autenticación EAP-AKA prima.jpg — Imagen libre de Wikimedia Commons (CC BY-SA 4.0, autor: Acorletti)

Una API pública no abre su puerta a cualquiera: necesita saber quién llama, con qué permiso y a quién cobrarle. Para eso existen las llaves (API keys) y los tokens: credenciales que tu app adjunta a cada petición. Piensa en el token como la pulsera de un hotel: mientras la llevas, el servicio te reconoce y te deja pasar. Sin ella, no hay forma de saber que eres tú.

Regla de oro de las llaves Una llave de API es un secreto. Si se filtra, alguien puede usar el servicio a tu nombre y a tu costo. Nunca va en el código que subes a un repositorio, ni en imágenes, ni en el chat de la IA.

Dónde SÍ y dónde NUNCA va una llave

El patrón seguro: el secreto vive en el servidor; el código solo lo referencia.
Lugar	¿Va la llave ahí?	Por qué
Variable de entorno del servidor	Sí	Vive fuera del código y no se sube al repositorio
Archivo de código a la vista	No	Cualquiera que vea el código la ve
Repositorio público	No	Queda expuesta al mundo en segundos
En el navegador del usuario	No	El cliente puede extraerla y robarla

Una variable de entorno es un valor que vive en la máquina donde corre tu app, no dentro del código. El código dice 'lee la llave del entorno' en vez de 'aquí está mi llave escrita'. Así puedes compartir y versionar el código sin compartir el secreto.

[¿Dónde pongo esta llave?]

Esta actividad interactiva ('Rama narrativa') requiere el motor completo de Lumbre. El contenido estatico se muestra arriba; para la experiencia interactiva, visita la version online de este objeto.

Vas a construir una app con IA que usa una API de pago. ¿Cuál es la práctica correcta con la llave?

Si por accidente subiste tu llave a un repositorio, basta con borrar el commit para que esté a salvo.

Clasifica cada práctica de manejo de llaves.

Correcta

Riesgosa

Escribe tu plan de manejo de llaves para tu producto: dónde guardarás cada secreto, quién más podría verlo y qué harías si sospechas que una se filtró.

Pista

Incluye una acción concreta para la contingencia: quién revoca y cómo, sin pánico.

El token es la pulsera que autoriza tus llamadas.
El secreto vive en el servidor (variable de entorno), no en el código ni en el navegador.
Ante una fuga: revocar y regenerar, no solo borrar.

Siguiente paso: Webhooks, errores y costos — cuando el servicio te avisa a ti, y cómo leer sus señales cuando algo falla.