Guía · Datos y analítica
Cómo proteger las claves de API en tus automatizaciones
Buenas prácticas para custodiar claves y tokens en n8n, Make, WordPress y scripts: dónde guardarlas, permisos mínimos, rotación y qué hacer si se filtran.
Una clave de API es una contraseña para que un programa use un servicio, como un modelo de IA o WhatsApp. Si se filtra, otra persona puede usar tu cuenta y generar costos o acceder a datos. La regla es simple: nunca en el código visible, siempre con permisos mínimos y con un plan de rotación.
Dónde
Dónde guardar y dónde no
| Lugar | ¿Adecuado? |
|---|---|
| Gestor de credenciales de n8n o Make | Sí |
| Variables de entorno o archivo de configuración fuera de la web pública | Sí |
| Gestor de secretos del hosting o la nube | Sí |
| Código en un repositorio, aunque sea privado | No |
| Tema o plugin de WordPress editable desde el panel | No |
| Chats, correos o documentos compartidos | No |
Principios
Principios básicos
- Una clave por integración, para poder revocarla sin afectar a las demás.
- Permisos mínimos: solo los necesarios.
- Límites de gasto o de uso cuando el proveedor lo permita.
- Acceso a las credenciales solo para quien las necesita.
- No compartas capturas de pantalla donde se vean claves.
- Verifica que las claves no aparezcan en los registros de las ejecuciones.
WordPress
Particularidades en WordPress
Si necesitas una clave en WordPress, defínela en el archivo de configuración fuera de la carpeta pública o mediante variables del servidor, y no la guardes en campos de ajustes visibles para cualquier administrador. Limita quién tiene permisos altos, según roles y permisos. Un plugin comprometido puede leer lo que está en la base de datos, por eso es clave elegir con criterio, como en plugins confiables.
Si se filtra
Plan ante una filtración
- Revoca la clave de inmediato en el panel del proveedor.
- Crea una nueva y actualízala en los sistemas que la usan.
- Revisa el uso reciente en busca de actividad no reconocida.
- Identifica cómo se filtró y corrige la causa.
- Informa a quien corresponda si hubo datos de clientes afectados.
Incluye las claves en tu rutina de seguridad: auditoría de una hora y en el diseño de flujos de automatización. Para riesgos específicos de asistentes, prompt injection.
Un inventario de claves evita sorpresas. Lista qué claves existen, qué sistema las usa, quién las creó y cuándo se rotaron por última vez, sin escribir los valores secretos. Con ese inventario, cuando un colaborador se va o un servicio deja de usarse, sabes qué revocar. Revisa también los permisos de las claves: muchas se crean con acceso total por comodidad, cuando bastaría un acceso de lectura o limitado. Si un proveedor ofrece alertas de uso inusual, actívalas. Una factura inesperada suele ser la primera señal de una clave filtrada.
Lista de comprobación final:
- Inventario de claves sin los valores.
- Permisos mínimos por clave.
- Alertas de uso y límites de gasto.
Resumen
En resumen
- Principios básicos: Una clave por integración, para poder revocarla sin afectar a las demás.; Permisos mínimos: solo los necesarios.
- Particularidades en WordPress: Si necesitas una clave en WordPress, defínela en el archivo de configuración fuera de la carpeta pública o mediante variables del servidor, y no la guardes en campos de ajustes visibles para…
- Plan ante una filtración: Revoca la clave de inmediato en el panel del proveedor.; Crea una nueva y actualízala en los sistemas que la usan.
Preguntas frecuentes
Lo que suelen preguntar sobre proteger claves de API
¿Cada cuánto debo rotar las claves?
Cuando cambie el equipo, ante cualquier sospecha y de forma periódica si tu política lo define.
¿Es seguro pegar una clave en un asistente de IA para que me ayude?
No. Usa valores de ejemplo y reemplaza la clave tú mismo.
¿Es seguro guardar claves en una hoja de cálculo?
No. Usa un gestor de contraseñas o de secretos con control de acceso.