Clave API: una contraseña que puede costarle dinero
Una clave API es un código secreto que identifica su cuenta cuando un programa llama a un servicio, como los modelos de OpenAI o de Anthropic. Quien la tenga puede usar el servicio en su nombre y a su cargo: trátela como la contraseña de su banco, sin compartirla ni publicarla nunca.
Datos a 22 de octubre de 2026
Lo esencial en cifras
| Nivel | Intermedio |
|---|
Una definición sencilla
Cuando un programa llama a una API, el proveedor necesita saber quién hace la petición para aplicar los límites correctos y enviar la factura a la cuenta correcta. Esa es la función de la clave API: una larga cadena de caracteres, creada en la consola para desarrolladores del proveedor, que el programa adjunta a cada petición. En Anthropic, por ejemplo, se envía en el encabezado Authorization de la petición.
La documentación de OpenAI es clara: su clave API es un secreto; no la comparta con otras personas ni la exponga en código del lado del cliente, como navegadores o aplicaciones.
Un ejemplo concreto
Una desarrolladora crea un pequeño asistente para su equipo y pega su clave directamente en el código, «solo para probar». Después publica el proyecto en un repositorio público. Cualquiera puede leer la clave, copiarla y usarla, y los gastos se acumulan en su cuenta. La propia OpenAI cita las claves escritas en el código fuente como una causa frecuente de compromiso. La forma correcta: guardar la clave en una variable de entorno (como OPENAI_API_KEY o ANTHROPIC_API_KEY, que los SDK oficiales leen automáticamente) y no escribirla nunca en un archivo que vaya a publicar.
Buenas prácticas de seguridad
- No la comparta ni la publique nunca: ni en un correo, ni en una captura de pantalla, ni en un foro, ni en un repositorio de código, ni en una página web.
- Manténgala en el servidor. Una clave integrada en una aplicación móvil o un sitio web puede ser extraída por cualquier visitante.
- Use variables de entorno o un gestor de secretos, como recomiendan OpenAI y Anthropic.
- Una clave por persona o por uso, para poder revocar una sin interrumpir los demás usos.
- Fije una caducidad y renueve las claves con regularidad; Anthropic permite elegir la caducidad al crear una clave.
- Limite el gasto en la consola y vigile el consumo: es su red de seguridad, junto con los límites de uso.
- Revoque de inmediato cualquier clave que sospeche que se ha filtrado.
Estas reglas importan aún más con los agentes autónomos: una clave con permisos amplios entregada a un agente poco supervisado, o expuesta a una inyección de prompt, puede provocar gastos o acciones no deseados. Nuestra herramienta ¿Puedo confiar esto a un agente? le ayuda a valorar esos riesgos.
Ideas falsas frecuentes
- «Mi repositorio es privado, así que la clave está a salvo». Un repositorio privado puede volverse público, compartirse o clonarse; la clave no debe estar ahí.
- «Ya borraré la clave más tarde». Una clave publicada puede copiarse muy rápido, y el historial del repositorio la conserva aunque borre el archivo: revóquela enseguida.
Términos relacionados: API, límite de uso, precio por millón de tokens, inyección de prompt, aislamiento (sandboxing).
Términos relacionados
- API · Interfaz que permite a un programa enviar solicitudes a un servicio, por ejemplo un modelo de IA, y recibir sus respuestas.
- Límite de tasa (rate limit) · Tope que fija un proveedor de IA al número de peticiones o tokens permitidos en un intervalo de tiempo, a menudo por minuto.
- Precio por millón de tokens · Unidad de facturación de las API de IA: una tarifa por cada millón de tokens de entrada y otra, normalmente más alta, por los generados.
- Inyección de prompt · Ataque que introduce instrucciones ocultas en un texto que lee una IA para que ignore sus consignas o actúe contra el usuario.
- Sandbox (entorno aislado) · Aislamiento de un agente de IA en un entorno cerrado con archivos, red y comandos limitados, para contener posibles daños.
Para probar
Todo el glosario
Preguntas frecuentes
¿Qué hago si mi clave API se filtra?
Desactívela o elimínela de inmediato en la consola del proveedor, cree una nueva y sustitúyala en sus herramientas. Después revise el historial de uso y la facturación. La documentación de OpenAI indica que la revocación de una clave surte efecto en pocos segundos.
¿Debo dar mi clave a una extensión o un sitio web que la pide?
Solo si confía en el desarrollador y entiende qué hará con ella. Una clave entregada a un servicio de terceros puede usarse sin límite a su cargo. Utilice una clave dedicada, con un tope de gasto, que pueda revocar sin afectar a lo demás.
¿La clave API es lo mismo que mi contraseña de ChatGPT o Claude?
No. Su contraseña abre la aplicación para el público; la clave API da acceso a la plataforma para desarrolladores, que se factura aparte según el uso. Ambas son confidenciales, pero la clave está pensada para que la usen programas.
¿Puede un equipo compartir una misma clave?
Los proveedores lo desaconsejan. OpenAI recomienda una clave única para cada miembro del equipo; Anthropic recomienda claves personales para uso propio y claves de cuenta de servicio para usos compartidos o automatizados.
Fuentes de los datos
Datos a 22 de octubre de 2026
Señalar un error
¿Una cifra, una fecha o un dato le parece incorrecto? Díganoslo: verificamos cada aviso.