Las API Keys de WaFloW.ai permiten acceso programático a funcionalidades y datos sensibles.
Por eso, su correcta gestión es fundamental para proteger tu cuenta, tus clientes y tus integraciones.
Este documento recoge buenas prácticas de seguridad y pautas de uso recomendadas.
Por qué es importante proteger las API Keys #
Una API Key concede acceso directo a:
- Eventos de WhatsApp.
- Datos de contactos y conversaciones.
- Integraciones con sistemas externos.
- Automatizaciones críticas.
Si una API Key se ve comprometida, un tercero podría acceder o interferir en tu sistema.
Principios básicos de seguridad #
Al trabajar con API Keys, sigue siempre estos principios:
- Trata la API Key como una contraseña.
- Concede acceso solo a quien lo necesita.
- Limita su uso al caso específico.
- Revoca claves que ya no se usen.
La seguridad empieza por una buena gestión.
Dónde NO debes usar una API Key #
Nunca expongas una API Key en:
- Código frontend (JavaScript del navegador).
- Repositorios públicos.
- Documentación visible al cliente.
- Emails o chats sin cifrar.
Las API Keys deben usarse solo en entornos seguros (backend, servidores, herramientas de automatización).
Uso recomendado de API Keys #
Buenas prácticas recomendadas:
- Usa una API Key por integración.
- Crea claves separadas para pruebas y producción.
- Asigna nombres claros a cada clave.
- Documenta internamente para qué sirve cada una.
Esto facilita auditoría y mantenimiento.
Rotación y revocación de claves #
Es recomendable:
- Rotar las API Keys periódicamente.
- Revocar claves antiguas o en desuso.
- Revocar inmediatamente una clave si sospechas compromiso.
Revocar una clave invalida automáticamente su uso.
Qué hacer si una API Key se ve comprometida #
Si crees que una API Key ha sido expuesta:
- Revoca inmediatamente la clave desde WaFloW.ai.
- Crea una nueva API Key.
- Actualiza la clave en todos los sistemas que la usaban.
- Revisa logs y automatizaciones asociadas.
Actuar rápido reduce riesgos.
Control de accesos en equipos #
Si trabajas en equipo:
- Limita quién puede crear o revocar API Keys.
- Evita compartir claves entre personas.
- Usa gestores de secretos compartidos.
- Define responsabilidades claras.
La seguridad también es organizativa.
Resumen #
Un uso seguro de las API Keys implica:
- No exponerlas públicamente.
- Crear claves específicas por integración.
- Revocar claves innecesarias.
- Revisar y rotar accesos periódicamente.
Una API potente requiere una gestión responsable.