Seguridad

Una clave tiene el aspecto fk_live_… (hay un único prefijo y no hay claves de prueba) y se muestra una sola vez, cuando un administrador la crea en los ajustes de API y MCP de la app (Ajustes → API y MCP); Filmo solo guarda un hash de ella. Actúa con la autoridad de ese administrador, y todo lo que escribe se le atribuye a él. Cualquiera que tenga la clave puede hacer lo que permitan sus scopes.

• Guárdala en un gestor de secretos o en las variables de entorno cifradas de tu plataforma, y léela en tiempo de ejecución como FILMO_API_KEY.
• No la pongas nunca en el código fuente, en un bundle de front-end, en una app móvil ni en una URL. Llama a la API desde tu servidor.
• No la envíes por correo electrónico ni por chat. Pásasela a un compañero mediante el gestor de secretos compartido.
• Mantenla fuera de los logs, los informes de errores y las capturas de pantalla. Oculta la cabecera Authorization.
• Usa una clave distinta para cada integración y cada entorno, de modo que puedas revocar una sin romper las demás.

Da a cada clave solo los scopes que usa su integración. Una integración de solo lectura necesita únicamente scopes de lectura. La primera llamada de cualquier integración, GET /api/v1/account, necesita account:read. Consulta el scopes y permisos páginas. Para asistentes de IA, prefiere scopes de solo lectura y aprueba las escrituras una a una.

1. 1

   Crear una clave nueva

   En los ajustes de API y MCP, crea una clave con los mismos scopes. Ponle un nombre que te permita distinguirla de la antigua.

2. 2

   Desplegarla

   Guarda la clave nueva en tu almacén de secretos y despliega. Comprueba que las peticiones funcionan con ella.

3. 3

   Revoca la clave antigua

   Revócala en la misma pantalla. Las peticiones que aún la usen empiezan a responder 401 api_key_revoked.

Una clave puede tener fecha de caducidad, elegida al crearla, y entonces las peticiones responden 401 api_key_expired después de esa fecha. Una clave sin fecha nunca caduca, ni siquiera cuando no se usa. Trata ambos códigos como la señal para emitir una clave nueva. Puede haber varias claves activas a la vez (hasta 50 claves no revocadas por suscripción; las claves caducadas cuentan, y las conexiones OAuth también), así que puedes solapar la clave nueva y la antigua. Rota según un calendario que encaje con tu política y, siempre, cuando se vaya de tu equipo alguien que conocía la clave.

Actúa primero, investiga después. Revocar una clave corta el acceso al instante.

1. 1

   Revoca la clave ahora

   Abre los ajustes de API y MCP de la app y revócala. Hace falta un administrador. Hazlo antes que nada.

2. 2

   Crear un reemplazo

   Crea una clave nueva con los mínimos permisos (scopes) que necesite la integración, guárdala en tu gestor de secretos y despliégala.

3. 3

   Elimina la clave del lugar donde se filtró

   Elimínala del repositorio, del registro, del chat o de la página. Recuerda que eliminar un commit no lo quita del historial ni de los forks, así que da por hecho que la clave antigua es pública y mantenla revocada.

4. 4

   Comprobar qué ha pasado

   Revisa en la app los cambios recientes para detectar registros que no reconozcas. Todo lo que escribió la clave se atribuye al administrador que la posee. Si tu cuenta tiene el registro de actividad, que es un add-on, este marca los cambios que vinieron de la API; sin él, compara los registros con los tuyos.

5. 5

   Avisa a soporte si es posible que se haya accedido a datos

   Incluye la hora aproximada de la filtración y, si los tienes, los ids de petición de las llamadas sospechosas.

Cada página de cliente MCP enlaza de vuelta aquí. Para obtener ayuda, consulta soporte, y los artículos del centro de ayuda sobre seguridad y sesiones activas.

La forma más común de que se filtre una clave es un archivo de configuración que se sube al repositorio con un commit. Los clientes MCP guardan las definiciones de servidor en archivos como .mcp.json (Claude Code), .cursor/mcp.json (Cursor) y .vscode/mcp.json (VS Code), y esos archivos suelen estar en el repositorio.

• No escribas la clave en estos ficheros. Usa el soporte del cliente para variables de entorno, de modo que el fichero contenga una referencia como ${FILMO_API_KEY} y el valor viva en tu shell o en tu almacén de secretos. La sintaxis difiere entre clientes: consulta la página del tuyo.
• Si el archivo debe contener un secreto, añádelo a .gitignore antes del primer commit.
• Añade un escáner de secretos a tu repositorio y a tu CI, y revisa el historial si alguna vez se subió un archivo con una clave.

{
  "mcpServers": {
    "filmo": {
      "type": "http",
      "url": "https://app.filmo.io/api/v1/mcp",
      "headers": {
        "Authorization": "Bearer ${FILMO_API_KEY}"
      }
    }
  }
}

OAuth no es un segundo sistema: el token que emite es una clave de API de corta duración. Los detalles están en OAuth y Autenticación de MCP. La persona administradora que aprueba una conexión encontrará qué revisar en MCP para administradores.

Si crees que has encontrado un problema de seguridad en la API o en la documentación, escribe a contact@filmo.io y descríbelo sin datos reales de clientes. El mismo contacto se publica en el archivo security.txt en https://www.filmo.io/.well-known/security.txt y en https://docs.filmo.io/.well-known/security.txt. No hagas pruebas contra cuentas que no sean tuyas y no publiques el problema antes de que Filmo haya tenido ocasión de responder.