Una clave de API es una cadena larga de letras y números que funciona como la llave de tu local: quien la tiene puede entrar y hacer lo que esa llave permite, sin que nadie le pregunte quién es. Se la das a un proveedor para que un programa suyo trabaje en tu nombre, por ejemplo para que un agente de IA lea tu agenda o consulte tus facturas. Y por eso no va en un correo: igual que no mandarías una copia de la llave de la tienda por una carta que pasa por muchas manos.
Si estás contratando a alguien para conectar un agente de IA con tus herramientas, tarde o temprano te pedirán una clave. Entender qué es y cómo se entrega ahorra problemas serios.
¿Qué es una clave de API, explicado con llaves?
Una API es una puerta por la que un programa habla con otro. Tu programa de facturación, tu correo o tu tienda online tienen una o varias. La clave de API es la llave que abre esa puerta para un programa concreto.
La comparación con las llaves de un negocio ayuda a entender todo lo demás:
- Tiene un dueño y un alcance. Una clave se crea para una herramienta y puede abrir solo ciertas puertas: leer, escribir, borrar. Es como tener la llave del almacén pero no la de la caja.
- No distingue quién la usa. Si alguien se hace con una copia, el sistema la trata como si fueras tú. No pregunta nada más.
- Se puede cambiar la cerradura. Si sospechas que se ha extraviado, puedes anularla y crear otra. Eso se llama revocar o rotar la clave.
- A veces ligada al gasto. En muchos servicios, el uso de la clave se factura a tu cuenta. Alguien con tu llave puede abrir y también gastar en tu nombre.
No es lo mismo que una contraseña. Una contraseña identifica a una persona que entra a una pantalla. Una clave de API identifica a un programa que entra solo, a cualquier hora y sin que nadie lo vea.
¿Por qué no debe enviarse por correo ni por chat?
Porque el correo y los mensajes no están pensados para guardar secretos. Cuando mandas una clave por esa vía, la dejas en sitios que no controlas:
- Se queda archivada. El mensaje permanece en tu bandeja de enviados, en la de quien lo recibe y en las copias de seguridad de ambos, a veces durante años.
- Se reenvía con facilidad. Alguien puede reenviarlo sin pensar, o el destinatario puede compartir su bandeja con compañeros.
- Cualquiera con acceso al correo la tiene. Si alguien entra en una de las cuentas, encuentra la llave sin esfuerzo con una búsqueda de la palabra "clave".
- Los chats y las capturas de pantalla son igual de frágiles. Un mensaje de WhatsApp, un documento compartido con enlace abierto o una captura en el móvil dejan también copias fuera de tu control.
Que alguien vea tu clave no significa que la use, pero ya no puedes saber quién la ha visto, y esa incertidumbre es el problema. La buena práctica es limitar quién la ve y reducir el número de sitios donde existe.
¿Cómo se entrega entonces una clave a un proveedor?
Hay varias formas razonables, y el proveedor debería ofrecerte alguna:
- Que la introduzcas tú mismo en la pantalla de configuración del proveedor, sin que pase por ningún mensaje.
- Que uses una herramienta pensada para compartir secretos, como un gestor de contraseñas con función de compartir, donde la clave se entrega de forma controlada y se puede retirar.
- Que crees una clave exclusiva para ese proveedor, con los permisos justos, para que cualquier problema afecte solo a lo que ese proveedor necesita.
- Que te acompañen en una videollamada en la que tú pegas la clave en el sistema sin que nadie la copie.
Pídele al proveedor que te explique por escrito cómo recibe y guarda las claves, quién tiene acceso y cada cuánto se renuevan. En cada cuánto cambiar las claves de acceso de un agente de IA tienes una regla para ese plazo.
¿Qué hago si ya mandé la clave por correo?
Ante todo, calma: es una situación muy común y tiene arreglo. Lo que importa es actuar pronto y en orden:
- Crea una clave nueva en el servicio donde se generó la antigua, con los mínimos permisos necesarios.
- Entrega la nueva por un canal seguro, no por el mismo correo, y comprueba que el agente o el programa funciona con ella.
- Anula la antigua. Mientras siga activa, el mensaje antiguo sigue siendo una llave válida. Este paso es el que resuelve de verdad el problema.
- Revisa el registro de uso del servicio, si lo ofrece, para ver si hay actividad que no reconoces: accesos a horas raras, consumos inesperados o acciones que nadie encargó.
- Borra el mensaje de tu bandeja y pide al destinatario que haga lo mismo. Borrar no basta por sí solo, porque pueden existir copias, pero reduce los sitios donde aparece.
- Anota lo ocurrido: qué clave era, cuándo se envió, a quién y cuándo se anuló.
Si la clave daba acceso a datos personales de tus clientes y encuentras indicios de que alguien no autorizado los ha visto o usado, trátalo como un posible incidente de seguridad. Puede haber obligaciones de aviso con plazos cortos, así que consulta cuanto antes a tu asesor de protección de datos. Si el correo solo llegó al proveedor de confianza al que querías dársela, el riesgo es menor, pero el cambio de clave sigue siendo la opción prudente. Tienes una lista de situaciones parecidas en el día que alguien se va: lista de accesos que hay que cerrar.
Qué hace el agente y qué hace una persona
El agente usa la clave para hacer su trabajo: consultar, escribir, enviar. Pero no debería ser quien la gestione. Crear, entregar, renovar y anular claves es una decisión que toma una persona responsable, con ayuda del técnico del proveedor. Tú, como gerente, no necesitas saber cómo se genera una clave, pero sí saber cuántas existen, qué puede abrir cada una y quién responde de ella.
Una práctica sencilla: pide a tu proveedor una lista de las claves de tu agente, con cuatro datos por cada una: para qué sirve, qué puede hacer, quién la custodia y cuándo se revisa. Si no existe esa lista, es un buen momento para pedirla. Para entender cómo encaja esto en el conjunto de permisos de un agente, puedes leer controles de acceso de IA: permisos y credenciales de agentes.
Conclusión
Una clave de API es la llave que un programa usa para entrar en tus sistemas en tu nombre, y se trata como se trata cualquier llave importante: pocas copias, pocas manos, un alcance limitado y la posibilidad de cambiar la cerradura si algo falla. Por eso no va en un correo ni en un chat. Y si ya la enviaste, la solución es crear una nueva, anular la antigua, revisar el uso y dejarlo anotado.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica, y gestionamos las claves de cada agente con un registro claro y permisos mínimos.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.