Clicked Gallery
¿Qué es una clave de API (API key)?
Subrayado en un documento técnico real. Explicado por Clicked.
Usado en una frase
Engineering Notes · AI Systems
The tutorial warned readers never to paste an API key into client-side code, where anyone reading the page can see it.
El lector subrayó una palabra en la documentación. Clicked explicó el término técnico «API key» en términos simples:
Explicado en tres niveles
●○○
Overview
Una clave de API es una cadena de caracteres que una aplicación envía en cada solicitud a una API. Así el servicio sabe qué cuenta está llamando. Funciona como un número de cuenta y no como una contraseña: a nadie se le pregunta quién es, y quien tenga la clave es tratado como el titular. Por eso las claves se mantienen fuera del código público, y por eso la solución ante una filtración es cancelarla y emitir otra.
●●○
Detail
Una clave de API identifica la cuenta que hay detrás de una solicitud. Una empresa que quiere datos o capacidad de cálculo se registra en el servicio que los vende y recibe una clave. En cada llamada el servicio busca la clave, encuentra la cuenta de esa empresa y aplica sus permisos y su facturación. Una clave no es una contraseña. Nadie la teclea, y cancelar una no deja a nadie fuera: una cuenta puede tener varias claves, una por aplicación, y cada una se revoca y se reemplaza por separado. Una clave está hecha para ser desechada. Pese al nombre, tampoco cierra ni cifra nada. Es simplemente un nombre que el servicio reconoce, así que dónde la guarda la empresa importa más que cualquier otra cosa. Una web o una aplicación de móvil se descarga en el equipo del usuario, de modo que una clave escrita dentro llega ahí también, donde cualquiera con curiosidad puede leerla. La clave se queda en el servidor de la empresa: la aplicación pregunta al servidor, y el servidor guarda la clave y llama a la API. Una clave filtrada se encuentra y se gasta rápido, y la factura recae en la empresa que la registró. La solución es siempre la misma: revocarla y emitir otra.
●●●
Analogy
Una clave de API es el telepeaje pegado al parabrisas. El lector del peaje nunca mira al conductor. Lee la etiqueta al pasar el coche y le cobra a la cuenta en la que está registrada. Presta el coche una semana y los cargos siguen siendo tuyos. Pierde la etiqueta y quien la pegue en su propio parabrisas circulará con tu cuenta hasta que llames y la des de baja, lo que lleva minutos y no cambia nada del coche. Todo el mecanismo cabe en un objeto: nombra una cuenta y no a una persona, compra acceso y no secreto, y está pensado para ser reemplazable.
Las explicaciones de IA pueden contener errores · No es asesoramiento profesional
Los mismos datos, otro rollo — Modo jerga 😎
●○○
Overview
Una clave de API es el identificador de llamadas del software. Cada solicitud llega con tu clave puesta, el servicio decide que eres tú y le cobra a tu cuenta, y en ningún momento nadie comprueba quién sostiene el teléfono. Así que una clave dentro de código público no espera a que se la roben. Ya está repartida, y quien la copie será atendido como si fueras tú. 😎
●●○
Detail
Una clave de API es una cadena que significa «cárgalo a esta cuenta», así que la única pregunta que importa es quién acaba teniendo la cadena. Hay dos sitios que la delatan. Publicarla es el ruidoso. Hay bots vigilando el código público en busca de cualquier cosa con forma de clave, y una clave subida por error suele estar gastándose en manos ajenas en cuestión de minutos. Nadie entró a la fuerza. Distribuirla es el silencioso. Lo que metes en una aplicación acaba en manos de quien la usa, y esa persona puede ir a mirarlo, por muy hondo que lo enterraras. Queda un único hogar seguro para una clave secreta: una máquina que tus usuarios nunca tocan. Tu servidor guarda la clave, la aplicación pregunta a tu servidor y tu servidor llama a la API. Dos hechos hacen que todo esto sea llevadero y no aterrador. Una clave es desechable, así que una filtración es un trámite y no una catástrofe: cancelas, emites otra y sigues. Y las claves salen gratis, así que cada aplicación puede llevar la suya, y el día que una se filtre sabrás exactamente qué apagar. 😎
●●●
Analogy
Una clave de API es una cuenta abierta en un bar que jamás te ha mirado la cara. Diste un nombre, lo apuntaron, y desde entonces cualquiera que diga ese nombre bebe y tú recibes el total. Díselo a un amigo y funciona bien. Díselo a la calle entera y te enteras a la hora de cerrar. Fíjate en lo que lo arregla, eso sí. No te cambias de nombre, ni de casa, ni dejas de salir. Cierras la cuenta y abres otra. Eso es exactamente una clave: inútil como protección, excelente como cuenta, y reemplazable en un minuto. 😎
Las explicaciones de IA pueden contener errores · No es asesoramiento profesional
Definición formal — El mismo término, explicado de la forma habitual
Una clave de API es un identificador opaco emitido por un proveedor de servicios y transmitido con cada solicitud, normalmente en una cabecera HTTP, para identificar la aplicación que llama y asociar la solicitud a una cuenta a efectos de autorización, limitación de tasa y facturación. Proporciona identificación y no autenticación del usuario, y no aplica protección criptográfica alguna a la solicitud en sí, por lo que se combina con TLS en el transporte y con alcance, caducidad y rotación en su gestión. Los proveedores suelen distinguir entre claves publicables, que pueden aparecer en código de cliente y se restringen por dominio o referente, y claves secretas, que se guardan en el servidor y se revocan y reemiten ante cualquier divulgación.
¿Quieres que Clicked te explique términos como «API key» directamente en tu navegador, incluso en PDFs?
Añadir a Chrome — Gratis50 Explicaciones gratis · Sin tarjeta de crédito
Más de la galería
¿Qué es una API?
El acuerdo fijo que permite a dos programas trabajar juntos sin conocer las tripas del otro.
¿Qué significa una API idempotente?
Por qué diez clics te cobran una vez — la propiedad que hace seguros los reintentos.
¿Qué es el cifrado de extremo a extremo?
Por qué nadie por el camino puede leer el mensaje, y qué sigue quedando a la vista.
¿Qué es una vulnerabilidad de día cero (zero-day)?
Un agujero que solo conoce el atacante, por qué cuesta una fortuna y qué rompe de verdad la mayoría de sistemas.
¿Qué es la computación en la nube (cloud computing)?
Alquilar ordenadores por internet en vez de tenerlos. La mayoría de tus aplicaciones vive ahí.
¿Qué es una VPN (red privada virtual)?
Un servicio que cifra tu tráfico de internet y lo saca por su propio servidor, para que otros vean menos de ti.