Qué es una API key, en qué se diferencia de una contraseña o un token OAuth, dónde guardarla, cómo restringirla y rotarla, y qué hacer en cuanto se filtra una.
Una API key es una cadena secreta larga que un programa envía con cada petición para demostrar qué cuenta está llamando a un servicio, como un proveedor de pagos, mapas o correo. Trata la mayoría de las claves como una contraseña: guárdalas en un servidor, nunca en el código de la web, limita lo que pueden hacer y sustitúyelas si quedan expuestas.
API key, token de acceso OAuth y contraseña comparados
Si tienes una web o una tienda, te encuentras con API keys cada vez que conectas un servicio: pagos, mapas, correo, una herramienta de formularios o un agente de IA. La mayoría son secretas, unas pocas están pensadas para ser públicas, y confundirlas es como se producen facturas inesperadas y filtraciones de datos. Pega una clave en el inspector de abajo para ver de qué tipo parece; funciona por completo en tu navegador y no envía nada a ningún sitio.
Las dos son secretos, pero una contraseña sirve para que una persona inicie sesión y una API key sirve para que un software llame a un servicio. Las claves son largas y aleatorias, suelen estar limitadas a ciertas acciones y se pueden sustituir sin cambiar el inicio de sesión de nadie.
Solo si el proveedor dice que ese tipo de clave se puede exponer. Las claves publicables de Stripe que empiezan por pk_ están pensadas para el código front-end; sus claves secretas y restringidas no. Todo lo que está en el navegador lo puede leer cualquier visitante.
En un gestor de secretos o en la configuración de variables de entorno de tu hosting. Tanto Stripe como Google dicen que no pongas claves en el código fuente ni las subas a repositorios de código.
Revócala o rótala de inmediato en el panel del proveedor y pon la nueva clave en la configuración de tu servidor. La recomendación de GitHub sobre secretos detectados es rotar la credencial afectada inmediatamente; limpiar el historial por sí solo no vuelve segura una clave activa.
Usa una API key cuando tu propio servidor habla con un servicio en tu propia cuenta. Usa OAuth cuando tu app debe actuar en nombre de otras personas en sus cuentas, porque así cada una concede el acceso y puede revocarlo por sí misma.
La clave vive en una variable de entorno en el servidor. El navegador llama a tu propio endpoint, que añade la clave y llama al proveedor.
Solo valores de ejemplo. Añade .env a .gitignore para que nunca llegue a tu repositorio.
Una pequeña ruta de servidor. El secreto se lee en el servidor y nunca se envía al navegador.
Pega una clave o solo sus primeros caracteres. La comprobación se hace solo en tu navegador; aun así, mejor usa una clave de prueba o un valor ficticio que un secreto real.
Clave a inspeccionar
Clave publicable de Stripe
Clave secreta de Stripe
Clave restringida de Stripe
Token de Notion
Secreto de firma de webhook (prefijo whsec_)
Ningún prefijo conocido. Trátala como secreta salvo que el proveedor diga lo contrario.
Pensada para código front-end, según el proveedor.
Secreta: guárdala en un servidor, nunca en una página web.
Clave de modo de prueba o sandbox.
Clave de modo real: dinero real o datos reales.
Longitud: {n} caracteres
Aleatoriedad aproximada si se generó al azar: {n} bits
Parece corta para ser un secreto. Unos {n} bits o más es un objetivo orientativo razonable.
Pega algo para inspeccionarlo.
Empieza gratis · Sin tarjeta de crédito