La mayoría de las webs útiles se apoyan en servicios externos: alguien cobra la tarjeta, envía el SMS, dibuja el mapa o entrega el correo. Te conectas a ellos mediante una API.
Conectar es fácil de pedir por chat; hacerlo con seguridad exige unos pocos hábitos. Aquí están.
Una API permite que tu web hable con otro servicio, como pagos, SMS o mapas. Guarda las claves como secretos del proyecto, llama al servicio solo desde el servidor y verifica cada webhook antes de fiarte de él.
Qué es una clave de API y dónde no debe ir nunca
Una clave de API es la contraseña de tu cuenta en ese servicio. Quien la tenga puede gastar tu dinero o leer tus datos, por lo que nunca debe aparecer en el chat, en el código visible de la página ni en un repositorio público de GitHub.
Guarda las claves como secretos del proyecto y deja que las lea el servidor. Si una clave se filtra, revócala de inmediato en el proveedor y crea otra.
Llama a los servicios desde el servidor
Todo lo que se ejecuta en el navegador del visitante puede inspeccionarse. Por eso la llamada que usa una clave secreta debe hacerse en tu servidor: el navegador pide a tu servidor y tu servidor pide al servicio.
Algunas claves están pensadas para ser públicas, a menudo llamadas claves publicables, y son seguras en el navegador. Lee la documentación del proveedor para saber de qué tipo es la tuya.
- Usa primero el modo de pruebas del proveedor, con claves de prueba.
- Gestiona los fallos: muestra un mensaje amable si el servicio no responde.
- Respeta los límites de uso para que no te bloqueen.
Webhooks: el servicio te llama a ti
Un webhook es la dirección contraria: cuando un pago se completa, el proveedor envía un mensaje a una dirección de tu web. Así sabe tu web que un pedido se ha pagado de verdad.
Como cualquiera podría enviar un mensaje falso a esa dirección, verifica la firma que incluye el proveedor con un secreto guardado de forma segura. Y haz que recibir dos veces el mismo mensaje no cree un segundo pedido.
Costes, límites y normativa
Muchas integraciones son de pago o tienen un plan gratuito con límites. Los pagos, los SMS y algunos servicios de mapas o de IA cobran por uso, con precios del propio proveedor, independientes de la construcción de tu web. Compruébalos antes de lanzar.
Si un servicio recibe datos personales de tus clientes, revisa dónde los trata y menciónalo en tu política de privacidad, tal como pide el RGPD. Es información general, no asesoramiento jurídico.
Un prompt que puedes copiar
«Conecta mi web de reservas con un proveedor de SMS para enviar mensajes de confirmación. Lee la clave del proveedor desde un secreto del proyecto, llámalo solo desde el servidor, añade un interruptor de modo de pruebas y muestra un error amable si el envío falla. La clave la añadiré yo mismo como secreto.»