Claves y secretos
Lección 6 de 26 del curso «Vibe coding». Gratis, con animaciones y un test.
Qué es una clave de API
Una API es la forma en que tu programa habla con el servicio de otro, por ejemplo con un modelo de IA. Una clave de API es la contraseña de esa conversación. Con ella el servicio sabe que el pedido viene de ti y, si es de pago, se lo cobra a tu cuenta. La trampa: todo lo que está en el código de la página lo ve cualquier visitante con «Ver código fuente».
Frontend y servidor
El frontend es todo lo que se carga en el navegador del visitante: la página, los botones y su código. Cualquiera puede leerlo. El servidor (backend) es una computadora en internet donde corre tu programa. Su código no lo ve el visitante. De ahí la regla: los secretos viven solo en el servidor. El navegador le pide al servidor, el servidor llama al servicio con la clave y devuelve solo el resultado.
Nunca en el frontend
Una clave en el código de la página o en un repositorio público la encuentran rápido los bots. Un repositorio es la carpeta del proyecto con todo su historial de cambios, por ejemplo en GitHub. Público significa que todo internet lo ve. Los bots revisan esos lugares de forma automática, y tú pagas los pedidos de otros. Por eso el servidor hace los pedidos con la clave y el navegador solo recibe el resultado.
Git lo recuerda todo
Git es un programa que guarda el historial de versiones de un proyecto. Cada guardado se llama commit. La trampa: Git lo recuerda todo. Si una clave entró una vez en un commit, queda en el historial aunque luego la borres del archivo. Por eso el archivo con claves nunca debe entrar en Git. Cómo lograrlo, en la siguiente diapositiva.
Dónde guardar las claves
En tu computadora, las claves van en un archivo .env: un archivo de texto simple con ajustes. Su nombre se agrega a .gitignore, la lista de archivos que Git debe ignorar. Así .env no entra en Git. En el hosting, o sea, el servicio donde vive tu sitio, las claves van en la sección de secretos. ¿Se filtró una clave? Revócala ya en el panel del servicio y crea una nueva.
Ponte a prueba
- ¿Dónde puede ir una clave de API?
Respuesta correcta: En los secretos del hosting o en .env. La clave nunca debe llegar al navegador ni a Git. Escondida en el código de la página igual se ve con «Ver código fuente». - ¿Para qué se agrega .env a .gitignore?
Respuesta correcta: Para que las claves de .env no entren en Git. .gitignore le dice a Git: no guardes este archivo. Así las claves no quedan en el historial del proyecto. - Se filtró una clave por accidente. ¿Primer paso?
Respuesta correcta: Revocarla y crear una nueva. La clave ya pudo copiarse, y borrarla u ocultarla no lo deshace. Una clave revocada deja de funcionar para todos.
← Primero el plan: una página Git: guardados como en un juego →