63Secretos y claves

Si te saltas todo lo demás - lee esto.

Una clave de acceso es la contraseña de algún servicio. De tu IA, de la base, de los pagos. Quien la tenga puede hacer todo lo que haces tú. Incluido gastar tu dinero.

La regla principal: las claves jamás viven en el código. Viven en un archivo aparte que no entra en la historia ni viaja a internet. Díselo a la IA al principio del proyecto - lo dejará todo bien montado sola.

Por qué es tan serio. Por internet patrullan bots las veinticuatro horas buscando claves expuestas. No «algún día lo notarán» - las encuentran en minutos. Un repositorio público con una clave dentro vacía la cuenta más rápido de lo que tardas en hacer un té.

Y no son cuentos de miedo. A principios de 2026, Moltbook, una red social para agentes de IA hecha a su vez con IA, dejó a la vista un millón y medio de claves de acceso, treinta y cinco mil correos y mensajes privados a los tres días del lanzamiento. La causa: un solo ajuste de la base de datos que nadie configuró.

Y no es un caso aislado. En junio de 2026 se revisaron más de mil webs hechas con Lovable, Bolt, v0 y constructores parecidos: casi todas tenían al menos un agujero, casi un tercio uno grave, y en 172 casos cualquiera que pasara por ahí podía borrar datos ajenos. Y según el informe de Veracode de julio, en casi la mitad de las tareas la IA escribe código con una vulnerabilidad conocida, y en un año no mejoró: los modelos se vuelven más listos, pero no más seguros.

La conclusión no es «no uses IA». La conclusión es: la IA no piensa en la seguridad por sí sola si no se lo pides. Pídeselo. Directamente: «revisa si hay agujeros», «revisa que los secretos no entren al repositorio». Sabe hacerlo; solo que no lo hace por defecto.

Y yo tuve mi propio caso: una clave de acceso acabó una vez escrita donde no debía. Lidiar con las consecuencias me llevó varios días. Cinco minutos de atención al principio salen más baratos.