Puntos clave
- La clave de API es una larga cadena de caracteres que se envía junto con la llamada. Esa cadena significa "yo".
- A diferencia de una contraseña, por lo general no dice tu nombre aparte. Quien tiene la clave, cuenta como el dueño.
- Según el servicio, cada clave puede tener distintas puertas abiertas y un límite de uso propio.
- Si se filtra, alguien más usa tu nombre y el gasto y el registro quedan a tu cuenta.
- Si sospechas que se filtró, no intentes ocultarlo: cortarla y pedir una nueva es la única respuesta.
La analogía
La tarjeta de acceso de una oficina es solo eso, una tarjeta. Se acerca a la puerta y esta se abre; si no se acerca, no se abre. Quien abre la puerta no es la persona, es la tarjeta. Sin importar quién la lleve, la puerta solo mira la tarjeta.
Las puertas que abre también cambian según la tarjeta. Unas llegan solo hasta la oficina, otras hasta el cuarto de servidores. La que se le presta a una visita se bloquea sola esa misma tarde.
También queda registro de las idas y venidas: a qué hora se cruzó cada puerta, todo queda anotado.
Por eso perder la tarjeta es un problema. Quien la encuentra abre puertas con tu nombre, y el registro se acumula a tu cuenta. Ahí solo hay una cosa por hacer: bloquear esa tarjeta y pedir una nueva.
La clave de API es esa tarjeta.
En detalle
No pregunta tu nombre, solo mira la tarjeta
La clave de API es una larga cadena de letras y números sin significado propio. Al llamar a una API, envías esa cadena junto con el pedido, y quien recibe la busca en su lista, confirma que corresponde a un dueño y hace el trabajo.
Lo importante aquí es que por lo general no acompaña un usuario y una contraseña por separado. Muchas veces basta con la clave sola. Por eso, quien la consigue puede actuar como el dueño sin ningún trámite extra. La clave es más una credencial que un cerrojo, y esa credencial no lleva foto.
Tampoco es algo que una persona memorice para usar. Queda guardada dentro de un programa, que la adjunta automáticamente cada vez que llama. Por eso tiende a quedar mucho tiempo en lugares que no saltan a la vista.
Cada tarjeta abre puertas distintas
Es riesgoso hacer que una sola clave pueda con todo. Por eso, si el servicio lo permite, al crearla se le fija un alcance. En algunos sitios se pueden hacer claves que solo lean, claves que solo activan una función concreta, claves con un tope diario de uso.
Separarlas por uso evita que un accidente se propague. Si se filtra la clave que hiciste para pruebas, solo se abre la puerta de pruebas. También es más fácil averiguar cuál se filtró, porque cada clave deja su propio registro de uso.
Ponerles fecha de vencimiento también ayuda. Igual que la tarjeta de visitante se bloquea al final del día, una clave con fecha límite reduce el riesgo de que quede activa, olvidada, durante años.
Dónde no debe quedar guardada
El accidente más común es dejar la clave escrita dentro de un programa y subir ese programa entero a un lugar público. Una clave que queda en un sitio público puede ser copiada en cuestión de minutos: antes de que una persona la note, los rastreos automáticos ya la encontraron.
Ponerla en el código que corre en el navegador también es riesgoso, salvo que sea una clave pensada como pública desde el origen, con los lugares y las funciones donde sirve muy acotados. Que no se vea en pantalla no significa que esté oculta. Todo lo que llega hasta el navegador, cualquiera puede abrirlo. La clave debe quedar del lado del servidor, donde nadie mete la mano, y lo que corre en pantalla debe pasar por ese servidor para llamarla.
Pegarla en un mensaje de chat, dejarla a la vista al compartir pantalla, o que aparezca sin querer en una captura, son accidentes del mismo tipo. Anotarla en un documento o una nota también significa que, en cuanto ese documento se comparte, la clave viaja con él.
Si se filtró
Una clave filtrada no se puede corregir. Es como una tarjeta perdida: no se le retoca nada. Lo que corresponde hacer está fijado de antemano: cortar esa clave, pedir una nueva y reemplazarla donde se estaba usando.
Después toca revisar el registro. Ahí queda desde cuándo aparecieron rastros extraños y cuánto se usó durante ese tiempo. Si hay un uso concentrado en una franja horaria en la que normalmente nadie llama, es muy probable que lo haya hecho alguien más. En un servicio que cobra por uso, cuanto más tarde te des cuenta, mayor la pérdida.
También hay algo que conviene dejar listo de antemano: fijar un tope de uso que de verdad bloquee hace que, si se filtra, el daño se reduzca más o menos hasta ese límite. Un ajuste que solo avisa no es lo mismo que uno que bloquea. Es más realista notarlo rápido y cortarla rápido, que bloquearlo por completo de entrada.
Con más precisión
La clave de API resuelve de un solo golpe la identidad y el permiso: es el método más simple que existe. Justo por ser simple tiene un punto débil. Al ser una sola cadena la que hace de identidad completa, en el momento en que se filtra no hay forma de deshacerlo. Por eso, en lugares que exigen más cuidado, se usan pases temporales que viven poco tiempo y desaparecen, o se suma además una comprobación del lugar desde donde se llama.
La analogía de la tarjeta también tiene sus costuras. Al perder una tarjeta física, uno nota de inmediato que ya no la tiene; la clave, en cambio, puede copiarse mientras el original sigue intacto, así que es fácil que la filtración pase inadvertida. La tarjeta la usa una sola persona, mientras que la clave suele compartirse entre varios programas, así que cortar una puede detener varios sitios a la vez. De ahí viene el consejo de hacer una clave distinta para cada uso. Además, en muchos servicios quien emite la clave no guarda el valor original, solo una versión transformada que no se puede revertir. Por eso la muestran una única vez al emitirla, y si se pierde, solo queda pedir una nueva.
Pruébalo
Malentendidos comunes
Es fácil pensar que una clave, como una contraseña, solo sirve si una persona inicia sesión directamente, pero en realidad por lo general basta una sola cadena (en algunos servicios, un par de ID de clave y valor secreto), así que quien la tiene ya cuenta como el dueño.
Es fácil pensar que, si no se ve en pantalla, está a salvo en el código que corre en el navegador, pero en realidad todo lo que llega hasta el navegador puede abrirlo cualquiera.
Es fácil pensar que basta con tener cuidado incluso después de una filtración, pero en realidad no hay forma de deshacerla salvo cortarla y pedir una nueva.
Resumen en una línea
La clave de API es la credencial que te representa frente a la API, y casi todo depende de dónde la guardas y de qué tan rápido la cortas si se filtra.
¿Has visto un error o tienes una analogía mejor? Sugerir una corrección · Última actualización 2026-10-18