Qué es una API Key

Comprende la función de una API Key, su formato, sus límites de seguridad y la diferencia con las unidades de facturación de texto

La API Key es la credencial de identidad que usas al invocar MoleAPI; en la consola de MoleAPI también suele denominarse Token.

Cuando usas un SDK, una aplicación cliente o tus propias solicitudes HTTP para conectarte a MoleAPI, el sistema utiliza esta Key para determinar:

La forma más sencilla de entenderlo

Puedes entender una API Key como:

Hacia fuera: es como una “contraseña de la API”
Hacia dentro: también funciona como “credencial de acceso + etiqueta de atribución de facturación + interruptor de permisos”

Es decir, no es solo una cadena que determina si puedes o no invocar la API; también afecta a:

La API Key de MoleAPI suele tener este aspecto:

sk-********************************

En muchas aplicaciones de terceros, puede aparecer en campos como:

Este es el punto de confusión más habitual para quienes empiezan.

Dos conceptos que se confunden fácilmente

API Key / Token: credencial de identidad, utilizada para invocar la API.
Unidad de facturación de texto (Token): unidad de facturación que usa el modelo al procesar texto, empleada para calcular el coste.

Es decir:

Son dos conceptos completamente distintos.

En teoría, puedes usar una sola Key, pero en la práctica no es lo más recomendable.

La práctica recomendada es separarlas por uso, por ejemplo:

Las ventajas de hacerlo así son:

Logs más claros: puedes identificar rápidamente qué sistema está haciendo las llamadas
Mejor control de permisos: cada Key puede tener modelos y restricciones diferentes
Menor riesgo: si una Key se filtra, no afectará a todo el negocio
Mejor desglose de costes: es más fácil saber quién ha gastado cuánto

En uso real, las ubicaciones habituales para almacenar una API Key incluyen:

Si eres desarrollador, la forma más común suele ser algo como esto:

export OPENAI_API_KEY="sk-..."

O bien enviarla en el programa como cabecera de autenticación Bearer.

En los siguientes casos, se recomienda crear una Key nueva en lugar de seguir reutilizando la antigua:

cuando vayas a separar el entorno de pruebas del entorno de producción
cuando necesites asignar permisos de llamada independientes a distintos proyectos
cuando necesites restringir un nuevo rango de modelos
cuando sospeches que la Key antigua se ha filtrado
cuando quieras una auditoría de logs y un desglose de costes más claros

Si una API Key se filtra, equivale a una filtración de permisos de la API

No expongas la API Key en entornos públicos; de lo contrario, otros podrían usarla directamente para consumir tu Quota.

Como mínimo, evita estas prácticas:

no la incluyas en el código fuente del frontend
no la subas a un repositorio Git
no la compartas en grupos de chat, capturas de tickets o documentación pública
no dejes una Key de producción dispersa durante mucho tiempo en varios dispositivos personales

Prácticas recomendadas:

Si ya entiendes la función de una API Key, el siguiente paso recomendado es consultar directamente: