Obligatorio
La clave se almacena en un gestor de secretos del lado del servidor o en una configuración de entorno protegida.
No la confirmes en el control de código fuente.
Guía de seguridad
Crea integraciones más seguras con prácticas recomendadas de seguridad de claves de API
Las prácticas recomendadas de seguridad de claves de API ayudan a mantener útil una conexión con una API de IA sin facilitar la exposición de credenciales confidenciales. Esta guía explica los controles prácticos que se deben usar antes, durante y después de una integración.
Cómo se hacía antes
Las integraciones antiguas con API de IA solían tratar una clave como una cadena conveniente en lugar de como una credencial con un ciclo de vida.
- ExposiciónUna clave colocada directamente en el código del navegador puede ser copiada por cualquiera que cargue la aplicación.
- ControlLas variables de entorno reducen las filtraciones del código fuente, pero no sustituyen el control de acceso ni la rotación.
- SeparaciónUna clave independiente para cada entorno hace que la investigación de incidentes y la revocación sean más precisas.
- PredeterminadoLa opción predeterminada más segura es mantener la clave en un servidor y enviar únicamente solicitudes aprobadas a través de él.
Cómo se hace hoy
Un plan de seguridad para una API de IA debe indicar qué no puede garantizar la integración y, a continuación, ofrecer una alternativa viable para cada limitación.
- No puede hacer privada una clave del lado del cliente
-
Cualquier elemento enviado a un navegador, paquete móvil o repositorio público puede terminar extrayéndose y reutilizándose.
Solución alternativaMueve la credencial a un proxy del lado del servidor y expón únicamente la operación específica que necesita el cliente.
- No puede evitar que todas las solicitudes válidas sean costosas
-
Una credencial robada o utilizada indebidamente aún puede generar tráfico, incluso cuando el formato de la solicitud parece legítimo.
Solución alternativaEstablece límites del proveedor, cuotas de la aplicación, presupuestos de solicitudes y alertas para volúmenes inusuales.
- No puede identificar a una persona a partir de una credencial compartida
-
Una sola clave utilizada por todo un equipo dificulta atribuir la actividad o investigar un flujo de trabajo comprometido.
Solución alternativaEmite credenciales independientes o identidades de servicio autenticadas para personas, entornos y servicios.
- No puede reparar una clave que ya se ha filtrado
-
Eliminar una publicación pública o quitar una entrada de registro no borra las copias creadas por rastreadores, bifurcaciones o sistemas de monitorización.
Solución alternativaRevoca la clave expuesta, emite un reemplazo, inspecciona el uso y documenta el incidente.
Qué cambió
El trabajo moderno con la API de IA trata las credenciales como secretos gestionados. Antes de conectar una aplicación, confirma estos requisitos en lugar de depender de una única variable oculta.
Obligatorio
Producción, pruebas, desarrollo local y pruebas automatizadas utilizan credenciales independientes.
El aislamiento limita el alcance del impacto.
Obligatorio
La aplicación autentica a los usuarios antes de permitir solicitudes que consuman la API de IA.
Una clave del proveedor no es una identidad de usuario final.
Obligatorio
Los registros excluyen los encabezados de autorización, los cuerpos de solicitud completos y los detalles de error que contengan secretos.
Revisa los registros de la aplicación y del proveedor.
Obligatorio
La rotación y la revocación tienen una persona responsable, un procedimiento documentado y una ruta de recuperación probada.
Un plan solo es útil cuando se puede ejecutar.
Opcional
Las alertas de uso y los límites de solicitudes se configuran para el proveedor y la aplicación.
Muy recomendable para producción.
Quién cambió
El cambio es más visible en los equipos que han pasado de un único script experimental a un servicio compartido de API de IA con usuarios reales y responsabilidad operativa.
-
1
¿Es segura la API de IA?
Esta guía centrada en la confianza explica cómo evaluar los riesgos antes de depender de un flujo de trabajo con una API de IA.
-
2
clave de API de IA gratuita
Esta guía de acceso aclara qué se debe comprobar antes de usar una credencial gratuita en una prueba o un prototipo.
-
3
proveedores de API de IA
Esta descripción general de proveedores ayuda a comparar la autenticación, los límites, el acceso a modelos y las políticas operativas.
Quién cambió
Elige el patrón de control que corresponda a la etapa y la estructura de tu integración de API de IA, no el que simplemente sea más rápido de pegar en una demostración.
1
Estás creando un cliente para navegador o móvil
Usa un proxy del lado del servidor con autenticación de usuarios, validación de solicitudes y límites por usuario.
El cliente necesita acceso a una capacidad de la API de IA, no acceso a la credencial del proveedor.
2
Estás ejecutando un servicio de backend privado
Almacena la clave fuera del repositorio, restringe su alcance cuando sea compatible y sepárala por entorno.
Un backend puede proteger el secreto y, al mismo tiempo, ofrecer a la aplicación un acceso controlado a la API de IA.
3
Estás probando una integración de API de IA de forma local
Usa una clave de desarrollo desechable, un presupuesto reducido de solicitudes y fixtures o mocks cuando no sean necesarias las llamadas en vivo.
Los scripts locales, los terminales compartidos, las capturas de pantalla y los registros de depuración son puntos habituales de exposición accidental.
Quién cambió
La diferencia entre el antes y el después no es un prompt o modelo más complicado. Es un cambio en dónde reside la autoridad y en la rapidez con la que se puede contener una credencial comprometida.
Clave en el cliente
Mantén la autoridad detrás del límite de la aplicación.
Quién cambió
Los controles de seguridad son más fáciles de adoptar antes de que una integración con una API de IA se vuelva difícil de cambiar.
Pon en práctica un acceso más seguro a la API de IA
Empieza con una ruta de servidor protegida, una credencial de desarrollo independiente y una respuesta documentada para las posibles exposiciones. Después, añade una gestión adecuada de los registros, límites, rotación y revisiones a medida que crezca la integración. El objetivo no es el secreto perfecto, sino el acceso controlado, una responsabilidad clara y un radio de impacto reducido cuando algo salga mal.
- Mantén las claves del proveedor fuera de los navegadores y los repositorios públicos.
- Separa las credenciales por entorno y servicio.
- Rota las credenciales inmediatamente cuando sospeches que ha habido una exposición.
Sus propias preguntas frecuentes
Estas respuestas abordan las preguntas prácticas que suelen hacerse al aplicar las mejores prácticas de seguridad de claves de API a un proyecto de API de IA.
Almacénala en el servidor, en una configuración de entorno protegida o en un gestor de secretos dedicado. La clave no debe aparecer en JavaScript del navegador, paquetes de aplicaciones móviles, control de código fuente, capturas de pantalla ni registros comunes de la aplicación.
Una variable de entorno es más segura que incluir una clave directamente en el código, pero solo constituye una capa. También deben restringirse y revisarse el acceso al host, el sistema de implementación, los registros, el proceso de compilación y los informes de errores.
No. Las credenciales independientes permiten revocar una clave de desarrollo sin interrumpir la producción y facilitan atribuir actividades inusuales. Cuando sea práctico, usa claves distintas para el trabajo local, la preparación, la producción y las pruebas automatizadas.
Revoca o deshabilita la clave inmediatamente y, después, crea un reemplazo mediante un canal confiable. Revisa el uso y los registros en busca de actividad no autorizada, elimina el secreto de la ubicación original y deja constancia de lo ocurrido para reducir la probabilidad de que vuelva a suceder la misma exposición.
Debes asumir que cualquier clave enviada a un navegador o cliente móvil es pública. Coloca la credencial detrás de una ruta del servidor, autentica al autor de la solicitud, valida la solicitud y aplica límites antes de reenviar las llamadas aprobadas a la API de IA.