Cómo proteger tus claves de IA antes de que sea tarde.

El modelo de responsabilidad compartida, en simple

Cuando usás la API de un proveedor de IA, la seguridad se reparte. El proveedor cuida su parte; la tuya es tuya. Si una clave tuya se filtra y alguien la usa, ese consumo puede quedar asociado a tu cuenta.

Las 3 reglas que aplican a cualquier proveedor

1. La clave nunca adentro del código. Guardala en una variable de entorno (un archivo .env que esté en .gitignore) o en un gestor de secretos. Nunca la pegues en un archivo que vayas a subir, compartir o mostrar en pantalla. Mantenela del lado del servidor: una variable enviada al navegador deja de ser secreta.

2. Una clave distinta por proyecto. Si se filtra una, revocás esa sola y no se cae todo lo demás. Además, ves qué proyecto consume qué.

3. Un tope de gasto real. Ayuda a limitar el daño si lo demás falla. Ojo: una alerta solo te avisa; un tope puede frenar el consumo. Revisá las demoras y excepciones de cada proveedor.

Si se filtró una clave: los primeros 10 minutos

1. Revocala ya, desde la sección de claves de tu proveedor. No esperes a confirmar si alguien la usó.

2. Creá una nueva y actualizala en tus variables de entorno, no en el código.

3. Revisá el consumo de los últimos días para ver si hubo uso que no reconocés.

4. Contactá al soporte del proveedor cuanto antes si hubo consumo no autorizado, con fechas y montos.