Claves de API
El token criptográfico que identifica a tus sistemas cuando interactúan con Cord.
Funcionamiento de las Claves
Toda petición programática a la API de Cord requiere una Clave de API. Puedes administrarlas, revocarlas y monitorear su uso desde la pestaña Llaves del Cord Workbench — la píldora “Desarrolladores” en la esquina inferior derecha de la app, que aparece al activar el Modo desarrollador en Tu cuenta › Preferencias.
Por seguridad, los sistemas de Cord almacenan tu Clave de API como un Hash (sha-256) irreversible. La llave en texto claro (el string que comienza con sk_..., rk_... o pk_...) solo se te mostrará una vez al momento de crearla. Si la pierdes, no hay forma de recuperarla; deberás revocarla y generar una nueva.
Confirmación de identidad
Crear o rotar una llave, y cambiar sus permisos, sus IPs permitidas o sus herramientas de MCP, te pide confirmar tu identidad con tu contraseña, o con el código de tu app de autenticación si tu cuenta no usa contraseña. La confirmación vale 10 minutos. Una llave sigue funcionando aunque se cierre la sesión que la creó, así que Cord no deja crearla desde una sesión que nadie confirmó hace poco. Si tu cuenta no tiene contraseña ni código de verificación, cierra sesión y vuelve a entrar: entrar cuenta como confirmación durante esos 10 minutos. Renombrar o revocar una llave no la pide.
Buenas Prácticas de Seguridad
No subas claves secretas a repositorios
Nunca commitees (ej. en Git) una clave que comience con sk_live_. Si un repositorio público expone tu clave, cualquiera puede usarla con los mismos permisos que tu backend hasta que la revoques manualmente desde el Workbench — Cord no la detecta ni la suspende por ti. Usa variables de entorno (como archivos .env no versionados) en tus servidores y revisa el log de actividad de la llave si sospechas que se filtró.
Usa el alcance correcto (Publicable vs Secreta)
- Claves Secretas (
sk_): Acceden a toda la API, de solo lectura o de lectura y escritura según el alcance que elijas al crearlas. Solo deben vivir en los servidores backend bajo tu control. - Claves Restringidas (
rk_): También son de servidor, pero con un permiso por recurso (none,readowrite). Ver llaves restringidas. - Claves Publicables (
pk_): Diseñadas para ser seguras de inyectar en aplicaciones web (frontend). Cord automáticamente aplicará restricciones sobre lo que estas claves pueden ver u ocultará campos sensibles (como el costo/margen de los productos) cuando reciba una petición firmada con ellas.
Actividad en Tiempo Real
La pestaña Registros del Workbench es un log de auditoría en vivo del uso de cada llave: filtra por método o por clase de status, busca por ruta, y selecciona cualquier petición para ver qué IP, qué llave y qué flujo (API REST o MCP) la originó. Las llamadas de MCP aparecen con la herramienta que se invocó, por ejemplo /mcp/tools/call:listar_productos.