Qué resuelve
Las API keys permiten que sistemas externos trabajen con el API del tenant sin reutilizar la sesión humana del panel.
Antes de crear una clave
Definí para qué sistema se usará y quién la administrará. Una clave es una credencial, no un identificador público.
Flujo recomendado
Crear key → guardar el secreto fuera del frontend → autenticar requests → consumir recursos permitidos → rotar/revocar cuando corresponda.
Nunca pegues una API key en JavaScript público, repositorios, capturas o tickets.
Verificación
Probá primero un endpoint de lectura. Confirmá tenant, permisos y respuesta. Después pasá a operaciones de escritura.
Rotación
Si una clave fue expuesta, revocala y generá otra. No intentes “ocultarla” renombrando variables.