API keys y secretos: el ABC para no regalarle plata a nadie

Una API key es la llave que te da acceso a un servicio pago: si alguien te la roba, gasta con tu tarjeta. En este tutorial aprendés a guardarla bien desde el primer día, aunque nunca hayas programado. Son quince minutos que te pueden ahorrar un susto caro.

Antes de empezar

• Una cuenta en algún servicio con API key (OpenAI, Anthropic, Stripe, el que uses).
• Un proyecto en tu compu, aunque sea el primero que hiciste con IA.
• Un editor de texto o el asistente de IA con el que trabajás.
• Nada más. Esto es nivel cero a propósito.

Paso 1 — Entendé qué estás protegiendo

Una API key es un texto largo (muchas empiezan con algo tipo sk-) que los servicios te dan para identificarte. Funciona como una tarjeta de crédito sin PIN: quien la tiene, consume a tu nombre. Y no existe "recuperarla": si se filtra, la única solución es anularla y generar otra.

Regla de oro: la key nunca se escribe dentro del código, nunca se manda por WhatsApp, nunca se pega en un chat público.

Paso 2 — Creá el archivo .env

En la carpeta de tu proyecto, creá un archivo que se llame exactamente .env (con el punto adelante). Adentro van tus secretos, uno por línea:

OPENAI_API_KEY=aca-va-tu-clave

Ese archivo vive solo en tu compu. Es la caja fuerte del proyecto.

Paso 3 — Decile a Git que lo ignore

Git es el sistema que guarda el historial de tu código y lo sube a GitHub. Si el .env viaja con el resto, tu clave queda publicada. Para evitarlo, creá (o abrí) un archivo llamado .gitignore en la misma carpeta y agregale una línea:

.env

Con eso Git hace de cuenta que el archivo no existe. Este paso es EL paso: la mayoría de las claves robadas se filtran por repos de GitHub donde alguien se olvidó de esto.

Paso 4 — Usá la clave sin escribirla

Tu código lee la clave desde el .env en vez de tenerla adentro. En Node:

const key = process.env.OPENAI_API_KEY;

En Python:

import os
key = os.environ["OPENAI_API_KEY"]

Si no sabés cómo adaptarlo a tu proyecto, pedíselo a tu IA con estas palabras: "moveme todas las claves del código a un archivo .env y leelas desde ahí". Es un pedido que cualquier asistente resuelve bien.

Paso 5 — Poné un techo de gasto

Casi todos los proveedores de API te dejan configurar un límite de gasto mensual o alertas de consumo desde su panel. Activalo el mismo día que creás la key. Así, si algo sale mal —un bug tuyo o un robo—, el daño tiene techo: unos dólares y no una factura de terror.

Paso 6 — Si se filtró, rotá la clave ya

¿Pegaste la key en un chat, la subiste a GitHub o la compartiste "un segundo"? Da igual el cómo: andá al panel del proveedor, revocá esa clave y generá una nueva. Hacelo primero y preguntá después. Los bots que escanean GitHub encuentran claves expuestas en minutos, no en días.

Después actualizá tu .env con la clave nueva y seguí trabajando como si nada.

Errores comunes

• "La borré del código y ya está". Si la clave estuvo en algún commit de Git, sigue en el historial aunque la borres del archivo. Arreglo: rotarla, siempre, sin excepción.
• Compartir la misma key con todo el mundo. Si trabajás con alguien más, cada persona (o cada app) debería tener su propia clave. Así, si una se filtra, sabés cuál cortar sin frenar todo lo demás.
• Guardar las claves en un doc de Google o en las notas del celular. Mejor un gestor de contraseñas, que para uso personal tiene opciones gratuitas.
• Ignorar los mails del proveedor. Si te llega un aviso de "detectamos tu clave expuesta" o ves un pico de consumo raro, no es spam: actuá en el momento.

Siguiente paso

Ya sabés guardar secretos en tu compu. El siguiente nivel es ponerlos en el servidor cuando publiques tu app: las plataformas de hosting tienen su propia sección de "variables de entorno" justo para eso. Y de ahí, lo básico de proteger la app entera: validar lo que entra, limitar cuántos pedidos acepta y pedirle a la IA que audite su propio código antes de salir a internet.