Tus API keys son las llaves de tu cuenta: quien tenga la llave privada puede operar en tu nombre. Protegerlas no requiere herramientas sofisticadas, solo hábitos consistentes. Las llaves se administran desde el Panel:
En Panel Conekta: Desarrolladores → API Keys
Buenas prácticas
Guarda las llaves fuera del código
Usa variables de entorno o un gestor de secretos. Nunca escribas la llave privada directamente en el código ni la subas a un repositorio — ni siquiera privado: quedaría en el historial para siempre.
Separa los ambientes
Usa las llaves de pruebas para desarrollar y las de producción solo en tu servidor productivo. Así un descuido en desarrollo nunca toca dinero real, y distingues de inmediato en qué ambiente ocurre cada operación.
Limita quién las conoce
Solo las personas que operan la integración necesitan ver las llaves. Si un desarrollador o agencia deja de trabajar contigo, rota las llaves ese mismo día.
Rota periódicamente
Genera llaves nuevas de forma periódica y tras cualquier cambio de equipo. Planea la rotación: actualiza primero la llave en tus sistemas y después invalida la anterior para no interrumpir cobros.
Siguiente paso
Si quieres repasar qué es cada llave y para qué sirve, consulta Qué son las API keys.