*Visión general › Para saber más*

# Seguridad

> Una clave de API es acceso programático a los datos de tu empresa. Guárdala en un almacén de secretos, dale solo los scopes que necesite y revócala en cuanto sospeches que se ha filtrado.

Una clave tiene el aspecto `fk_live_…` (hay un único prefijo y no hay claves de prueba) y se muestra una sola vez, cuando un administrador la crea en los ajustes de API y MCP de la app (Ajustes → API y MCP); Filmo solo guarda un hash de ella. Actúa con la autoridad de ese administrador, y todo lo que escribe se le atribuye a él. Cualquiera que tenga la clave puede hacer lo que permitan sus scopes.

## Mantén la clave segura

- Guárdala en un gestor de secretos o en las variables de entorno cifradas de tu plataforma, y léela en tiempo de ejecución como `FILMO_API_KEY`.
- No la pongas nunca en el código fuente, en un bundle de front-end, en una app móvil ni en una URL. Llama a la API desde tu servidor.
- No la envíes por correo electrónico ni por chat. Pásasela a un compañero mediante el gestor de secretos compartido.
- Mantenla fuera de los logs, los informes de errores y las capturas de pantalla. Oculta la cabecera `Authorization`.
- Usa una clave distinta para cada integración y cada entorno, de modo que puedas revocar una sin romper las demás.

## Mínimo privilegio

Da a cada clave solo los scopes que usa su integración. Una integración de solo lectura necesita únicamente scopes de lectura. La primera llamada de cualquier integración, [`GET /api/v1/account`](https://docs.filmo.io/es/rest-api/endpoint-reference/account/get-the-account), necesita [`account:read`](https://docs.filmo.io/es/rest-api/guides/scopes#account:read). Consulta el [scopes](https://docs.filmo.io/es/rest-api/guides/scopes) y [permisos](https://docs.filmo.io/es/concepts/permissions) páginas. Para asistentes de IA, prefiere scopes de solo lectura y aprueba las escrituras una a una.

## Rotar una clave

1. **Crear una clave nueva** En los ajustes de API y MCP, crea una clave con los mismos scopes. Ponle un nombre que te permita distinguirla de la antigua.
2. **Desplegarla** Guarda la clave nueva en tu almacén de secretos y despliega. Comprueba que las peticiones funcionan con ella.
3. **Revoca la clave antigua** Revócala en la misma pantalla. Las peticiones que aún la usen empiezan a responder 401 [`api_key_revoked`](https://docs.filmo.io/es/rest-api/errors/api_key_revoked).

Una clave puede tener fecha de caducidad, elegida al crearla, y entonces las peticiones responden 401 [`api_key_expired`](https://docs.filmo.io/es/rest-api/errors/api_key_expired) después de esa fecha. Una clave sin fecha nunca caduca, ni siquiera cuando no se usa. Trata ambos códigos como la señal para emitir una clave nueva. Puede haber varias claves activas a la vez (hasta 50 claves no revocadas por suscripción; las claves caducadas cuentan, y las conexiones OAuth también), así que puedes solapar la clave nueva y la antigua. Rota según un calendario que encaje con tu política y, siempre, cuando se vaya de tu equipo alguien que conocía la clave.

> **Información:** Una clave deja de funcionar si el administrador que la creó abandona la cuenta o deja de ser administrador ([`api_key_owner_inactive`](https://docs.filmo.io/es/rest-api/errors/api_key_owner_inactive), [`api_key_owner_not_admin`](https://docs.filmo.io/es/rest-api/errors/api_key_owner_not_admin)). Crea las claves desde una cuenta que vaya a seguir siendo administradora.

## Si una clave se filtra

Actúa primero, investiga después. Revocar una clave corta el acceso al instante.

1. **Revoca la clave ahora** Abre los ajustes de API y MCP de la app y revócala. Hace falta un administrador. Hazlo antes que nada.
2. **Crear un reemplazo** Crea una clave nueva con los mínimos permisos (scopes) que necesite la integración, guárdala en tu gestor de secretos y despliégala.
3. **Elimina la clave del lugar donde se filtró** Elimínala del repositorio, del registro, del chat o de la página. Recuerda que eliminar un commit no lo quita del historial ni de los forks, así que da por hecho que la clave antigua es pública y mantenla revocada.
4. **Comprobar qué ha pasado** Revisa en la app los cambios recientes para detectar registros que no reconozcas. Todo lo que escribió la clave se atribuye al administrador que la posee. Si tu cuenta tiene el registro de actividad, que es un add-on, este marca los cambios que vinieron de la API; sin él, compara los registros con los tuyos.
5. **Avisa a soporte si es posible que se haya accedido a datos** Incluye la hora aproximada de la filtración y, si los tienes, los ids de petición de las llamadas sospechosas.

Cada página de cliente MCP enlaza de vuelta aquí. Para obtener ayuda, consulta [soporte](https://docs.filmo.io/es/further-reading/support), y los artículos del centro de ayuda sobre [seguridad](https://www.filmo.io/es/help/reference/cuenta-y-ajustes/acceso-equipo-y-permisos) y [sesiones activas](https://www.filmo.io/es/help/reference/cuenta-y-ajustes/acceso-equipo-y-permisos/como-funcionan-las-sesiones).

## Archivos de configuración en repositorios

La forma más común de que se filtre una clave es un archivo de configuración que se sube al repositorio con un commit. Los clientes MCP guardan las definiciones de servidor en archivos como `.mcp.json` (Claude Code), `.cursor/mcp.json` (Cursor) y `.vscode/mcp.json` (VS Code), y esos archivos suelen estar en el repositorio.

- No escribas la clave en estos ficheros. Usa el soporte del cliente para variables de entorno, de modo que el fichero contenga una referencia como `${FILMO_API_KEY}` y el valor viva en tu shell o en tu almacén de secretos. La sintaxis difiere entre clientes: consulta la página del tuyo.
- Si el archivo debe contener un secreto, añádelo a `.gitignore` antes del primer commit.
- Añade un escáner de secretos a tu repositorio y a tu CI, y revisa el historial si alguna vez se subió un archivo con una clave.

*.mcp.json con la clave leída del entorno*

```json
{
  "mcpServers": {
    "filmo": {
      "type": "http",
      "url": "https://app.filmo.io/api/v1/mcp",
      "headers": {
        "Authorization": "Bearer ${FILMO_API_KEY}"
      }
    }
  }
}
```

## Clave de API u OAuth

|  | Clave de API | OAuth |
| --- | --- | --- |
| Quién la crea | Un administrador, en los ajustes de API y MCP de la app. | Un administrador, en la pantalla de consentimiento que Filmo muestra cuando el cliente pide acceso. |
| Vida útil | Hasta que la revoques, salvo que caduque. | El token de acceso dura 1 hora; el token de refresco dura 30 días y rota en cada uso. |
| Dónde la guardas | En tu almacén de secretos. | En el cliente, que guarda los tokens por ti. |
| Revocar | Revoca la clave. | Revoca la conexión en la misma sección de ajustes; el acceso termina al instante. |
| Uso típico | Servidores, scripts, plataformas no-code. | Clientes MCP remotos e integraciones que actúan en nombre de varias cuentas o que necesitan un consentimiento revocable. |

OAuth no es un segundo sistema: el token que emite es una clave de API de corta duración. Los detalles están en [OAuth](https://docs.filmo.io/es/rest-api/guides/oauth) y [Autenticación de MCP](https://docs.filmo.io/es/mcp/authentication). La persona administradora que aprueba una conexión encontrará qué revisar en [MCP para administradores](https://docs.filmo.io/es/mcp/guides/for-admins).

## Notificar una vulnerabilidad

Si crees que has encontrado un problema de seguridad en la API o en la documentación, escribe a contact@filmo.io y descríbelo sin datos reales de clientes. El mismo contacto se publica en el archivo `security.txt` en https://www.filmo.io/.well-known/security.txt y en https://docs.filmo.io/.well-known/security.txt. No hagas pruebas contra cuentas que no sean tuyas y no publiques el problema antes de que Filmo haya tenido ocasión de responder.

---

URL canónica: https://docs.filmo.io/es/further-reading/security  
Última actualización: 2026-10-09