Una clave de API (API key) es una contraseña larga que identifica a tu cuenta cuando un programa usa un modelo de IA por su API. Con ella el proveedor sabe quién pide y a quién cobrarle. Por eso quien la tenga gasta a tu nombre: se guarda en secreto, como la tarjeta de crédito.
Una pregunta de la app. Elige una respuesta.
El servidor pide una clave de acceso. ¿Dónde la guardas?
Lo versionado queda en el historial y viaja con cada copia del repo. La clave también.
La conexión puede usarla sin que quede en un archivo versionado. Si alguien copia el repo, no se lleva la llave.
Cambiarle el nombre no la esconde: sigue en el repo para quien lo lea.
La creas en el panel del proveedor y es una cadena larga de letras y números. Muchos proveedores la muestran una sola vez, así que la copias en ese momento. A diferencia de tu contraseña, nadie la escribe: tu programa la manda sola en cada pedido a la API de IA, en un encabezado.
Cada pedido usa tokens del modelo y cada token se cobra. Si alguien copia tu clave, sus pedidos se cobran a tu cuenta, y puede hacer miles en una noche.
POST /v1/responses HTTP/1.1
Host: api.example.com
Authorization: Bearer sk-FAKE-1234-this-is-not-a-real-key
Content-Type: application/json
{ "model": "some-model", "input": "Hello" }Va en una variable de entorno de tu servidor, o en un archivo .env que no se sube al repositorio. El código lee la variable y nunca tiene la clave escrita.
Nunca en el código ni en un repositorio: aunque la borres después, queda en el historial, y hay programas que revisan los repos públicos buscando claves. Nunca en el frontend: lo que corre en una página web o en una app móvil se puede abrir y leer. La app le pide a tu servidor, y el servidor le pide a la API.
# .env
AI_API_KEY=sk-FAKE-1234-this-is-not-a-real-key
// server.js
const key = process.env.AI_API_KEY;Revócala en el panel del proveedor y crea otra; cambiarle el nombre o borrarla del repo no alcanza. Después pon la nueva donde corresponde y mira el panel de uso por si alguien ya la usó.
Para que un error salga barato: una clave por proyecto (si se filtra una, revocas sólo esa), un límite de gasto mensual y una alerta antes de llegar. Y si trabajas con un agente de código, revisa que no copie la clave en un archivo que se sube.