Credenciales y tokens

Make Agent Fast utiliza varios tipos de credenciales. No son intercambiables. Antes de copiar un valor, identifica qué sistema lo emitió, qué sistema lo recibe y si es seguro exponerlo en un navegador.

Mapa de credenciales#

Elige el método de autorización adecuado#

Usa una clave de API de Make Agent Fast para un servidor que controles y una única cuenta de Make Agent Fast. Elige solo los permisos (scopes) que ese servidor necesite.

Usa OAuth Authorization Code con PKCE cuando tu producto conecte cuentas que pertenecen a otros usuarios de Make Agent Fast. Las aplicaciones OAuth requieren revisión antes de que la autorización en producción se complete correctamente.

Usa una clave de proveedor de IA solo cuando quieras que Make Agent Fast llame a ese proveedor de IA con cargo a tu cuenta de proveedor. Una clave de proveedor no autoriza la API pública de Make Agent Fast.

Usa las credenciales de conector únicamente en el formulario de conector correspondiente o en la solicitud a la API del conector. Un token de bot de Telegram no puede autorizar solicitudes a Discord, Meta ni a la API de Make Agent Fast.

Almacena los secretos de forma segura#

Para el desarrollo local, coloca los secretos en un archivo de entorno ignorado por Git o en el entorno de tu shell:

export MAF_API_KEY="maf_live_..."

Para el despliegue, usa el gestor de secretos cifrado de tu proveedor de alojamiento. No pongas secretos en:

• Commits de Git, descripciones de incidencias, capturas de pantalla, propiedades de analítica ni mensajes de soporte.
• NEXT_PUBLIC_*, VITE_* u otras variables incluidas en el JavaScript del navegador.
• Webflow, Framer, Wix, Shopify Liquid, HTML de WordPress ni un bundle web móvil.
• Cadenas de consulta (query strings). Las URL suelen conservarse en el historial del navegador, en proxies y en registros.

Realiza las llamadas a la API a través de tu backend autenticado. El navegador debe llamar a tu backend, y tu backend debe adjuntar el secreto.

const response = await fetch("https://makeagent.fast/api/v1/sites", {
  headers: { Authorization: `Bearer ${process.env.MAF_API_KEY}` },
});

Reglas de los secretos de un solo uso#

Las claves de API, los secretos de firma de webhook y los tokens de actualización de OAuth recién emitidos deben copiarse en el momento en que se muestran. El valor completo en texto plano no se puede recuperar más tarde. Si lo pierdes, crea uno de reemplazo en lugar de pedir al soporte que te lo revele.

Las credenciales de proveedores de IA y de conectores se cifran antes de almacenarse y no se devuelven a través de las API de listado. El panel puede mostrar una etiqueta, un prefijo, los últimos cuatro caracteres, el estado de validación o la hora del último uso para que puedas identificar una credencial sin exponerla.

Lista de comprobación para la rotación#

1. Crea la credencial de reemplazo con los mismos permisos mínimos (scopes) o permisos de proveedor.
2. Actualiza un despliegue o receptor a la vez.
3. Verifica que una solicitud real se realiza correctamente y registra su x-request-id.
4. Revoca la credencial anterior.
5. Confirma que las solicitudes antiguas fallan con 401 invalid_api_key o con el error equivalente del proveedor.

En el caso de OAuth, guarda el nuevo token de actualización que devuelve cada respuesta de actualización antes de descartar el token anterior. Para la rotación del secreto de webhook, ejecuta los endpoints antiguo y nuevo en paralelo hasta que todos los emisores y receptores usen el de reemplazo.

Si un secreto queda expuesto#

Revócalo o rótalo de inmediato. Eliminarlo del último commit de Git no es suficiente, porque puede permanecer en el historial, en cachés, en registros o en forks. Revisa la actividad tanto en Make Agent Fast como en el proveedor que emitió la credencial, y reemplaza cualquier credencial que compartiera la misma ubicación de almacenamiento o el mismo entorno de despliegue.

Continúa con Autenticación, Permisos y errores o Claves de proveedor de IA.