Clave de API filtrada: rotación y bajas | HopBase

Si se filtra una clave de API, desactívela primero en la consola: una clave desactivada se rechaza al instante y no afecta a ninguna otra. Después cree una clave de reemplazo con la misma configuración, despliéguela, filtre el uso por la clave antigua y exporte un CSV para ver qué modelos se llamaron y cuánto costó mientras estuvo expuesta. Las bajas de empleados funcionan igual: desactive al miembro y todas sus claves dejan de funcionar a la vez; luego ocúpese de las claves de departamento que haya creado. Este manual cubre los primeros 10 minutos, los ajustes preventivos que conviene activar hoy, una lista para bajas de personal y cómo confirmar el resultado con el registro de auditoría y el CSV de uso.

Los primeros 10 minutos tras una filtración

Si una clave aparece en un repositorio público, un chat, una captura de pantalla o un log, primero contenga el daño y después investigue.

1. Minutos 0–2, desactivar: busque la clave en Claves de API y desactívela. El efecto es inmediato y solo afecta a esa clave. Cuando esté seguro de que ya no hace falta, revóquela (elimínela); las claves eliminadas conservan quién las borró, cuándo y su historial de uso.
2. Minutos 2–5, rotar: cree una clave nueva con los mismos grupos, cuota, caducidad, lista de IP y concurrencia, y sustitúyala en los servicios o la configuración que usaban la anterior.
3. Minutos 5–8, revisar el uso: en la página Uso, filtre por la clave filtrada y revise hora, modelo, tokens y estado de cada solicitud durante la exposición para saber cuándo empezó el abuso.
4. Minutos 8–10, conservar pruebas: exporte un CSV con el mismo filtro (hasta 50.000 filas y 400 días por archivo) y entréguelo a finanzas o seguridad. Cada fila se recalcula como costo oficial × descuento ÷ tipo de cambio = importe cobrado; las solicitudes fallidas no se cobran.

Tras estos cuatro pasos, busque el origen y compruebe si otras claves creadas por la misma persona también deben rotarse. Cada clave muestra su creador y la página Uso permite filtrar por creador de la clave.

Orden recomendado de rotación

Para rotaciones periódicas sin urgencia, primero la nueva y después la antigua, sin cortes de servicio:

1. Cree una clave nueva con la misma configuración;
2. Despliegue la clave nueva en el servicio;
3. Filtre el uso por la clave antigua y confirme que ya no recibe solicitudes;
4. Desactive y después revoque la clave antigua.

Poner fecha de caducidad convierte la rotación periódica en algo obligatorio; deje la caducidad vacía solo en claves que nunca deban expirar.

Ajustes preventivos: que una clave filtrada pueda hacer lo mínimo

No se puede descartar una filtración, pero sí fijar de antemano el peor caso. Cada clave tiene su propia configuración:

Ajuste	Qué hace	Recomendación
Cuota de la clave	Gasto máximo en USD; al agotarse, las solicitudes se rechazan antes de procesarse (HTTP 402 insufficient_quota)	Un mes de uso normal de ese servicio más un pequeño margen
Caducidad	La clave deja de funcionar en esa fecha	Siempre en trabajos temporales, proveedores externos y pruebas de CI
Lista de IP	Limita qué IP pueden usar la clave	En producción, sus IP de salida, una por línea
Grupos (1–10)	La clave solo llama a los modelos de sus grupos; GET /v1/models los devuelve	Incluya solo los grupos que necesita la carga de trabajo, para que una clave filtrada no llegue a otros modelos
Concurrencia	Limita las solicitudes simultáneas	Baja en claves de procesos por lotes, para que no sirvan para llamadas masivas

Tres protecciones más a nivel de organización:

• Una clave por servicio: una filtración detiene un servicio, no todos;
• Cuotas de miembro y de departamento: aunque la clave no tenga cuota propia, la limitan las cuotas del periodo de su miembro y su departamento;
• Alertas de saldo: varios umbrales sobre el saldo disponible, con correo y aviso en la consola, para detectar gasto anómalo pronto.

Para montar miembros, departamentos y cuotas en tres niveles, vea claves de API de LLM en equipo; para la lista de evaluación completa, la lista de verificación de seguridad para APIs de IA empresariales.

Lista de baja de empleados: recuperar sus claves de API

El último día del empleado, en este orden:

1. Desactive al miembro en Equipo → Miembros. Todas sus claves dejan de funcionar de inmediato.
2. Localice las claves de departamento que creó: algunas claves no pertenecen a un miembro sino a un departamento (por ejemplo, un servicio en producción que mantenía). Revise el creador en la lista de claves o filtre el uso por creador, y rote cada una.
3. Exporte su último periodo: filtre por miembro y exporte el CSV para la liquidación y el reparto por departamento.
4. Reasigne roles: si era responsable de departamento, nombre a otro; si era administrador de empresa, el propietario le retira el rol.
5. Elimine al miembro (opcional): su acceso se desactiva y todas sus claves se eliminan de forma permanente. El historial de uso y los registros se conservan en Miembros eliminados.
6. Rote la configuración compartida que conocía: cualquier clave de servicio que pudiera ver en texto plano, rótela primero la nueva y después la antigua.

Confirme con el registro de auditoría y el CSV de uso

No basta con hacerlo; hay que poder demostrar que se hizo y que surtió efecto:

• Registro de auditoría: los cambios de organización, de miembros, de cuotas y permisos y las operaciones con claves quedan registrados y se consultan por fecha y objeto. El propietario y los administradores de empresa pueden verlo para confirmar quién desactivó qué clave o miembro, y cuándo.
• CSV de uso: cada solicitud registra modelo, tokens, latencia y estado. Filtrando por la clave antigua o el miembro dado de baja, no debe haber solicitudes correctas y cobradas después de la desactivación.
• Prueba de la clave antigua: llame a GET /v1/usage con ella y confirme que ya no es utilizable (este endpoint se interpreta por is_active; vea la referencia de saldo y cuota).

Lo que se investiga son metadatos de facturación: las instrucciones y las respuestas solo se usan para completar la solicitud, no se conservan como datos de negocio ni se usan para entrenar. Todo el tráfico va por TLS.

Regístrese en HopBase y ponga cuota y lista de IP a cada clave

Preguntas frecuentes

Se filtró mi clave de API: ¿basta con borrarla?

Desactívela primero, despliegue una clave de reemplazo con la misma configuración y luego filtre el uso por la clave antigua y exporte el CSV para revisar el gasto durante la exposición. Borrar sin revisar le deja sin saber el daño ni si otras claves de la misma persona deben cambiarse.

¿Cómo recupero las claves de API cuando un empleado se va?

Desactive al miembro y todas sus claves dejan de funcionar al instante. Después filtre por creador de la clave para encontrar las claves de departamento que creó y rótelas una a una. Eliminar al miembro borra también sus claves; el historial de uso se conserva.

¿Cómo veo cuándo se usó una clave y qué modelos llamó?

Filtre la página Uso por esa clave para ver hora, modelo, tokens, latencia y estado de cada solicitud, y expórtelo en CSV. La creación, edición y desactivación de claves figuran en el registro de auditoría, consultable por fecha y objeto.