Secretos y variables de entorno sin pegar claves en el chat

La mayoría de las apps reales necesitan al menos un secreto: la clave de un proveedor de pagos, la de un servicio de correo o la de una API de IA. En Mythex no tienes que pegar esas claves en un mensaje. Cuando el agente necesita una, muestra en el chat una tarjeta de solicitud de secretos, escribes el valor en la tarjeta y se guarda como secreto del proyecto, para que tu app pueda leerlo, sin que la clave acabe en la conversación.

Qué hace

Cada proyecto de Mythex puede guardar variables de entorno: valores con nombre, como STRIPE_SECRET_KEY, que tu app lee al ejecutarse en lugar de tenerlos escritos en el código. Los secretos son variables de entorno cuyo valor debe mantenerse privado.

Los mismos valores están disponibles en dos sitios:

• El entorno de pruebas (sandbox), donde el agente construye y ejecuta tu app mientras trabajas.
• Tus despliegues publicados, que es donde los visitantes usan la app.

Hay tres formas de añadirlos:

1. La tarjeta de solicitud de secretos, que el agente muestra en el chat cuando necesita una clave para terminar algo.
2. Ajustes del proyecto → Secretos, donde puedes añadir o editar valores en cualquier momento.
3. /secrets en el chat, para añadir o actualizar secretos cuando lo pidas.

Por qué ayuda

La forma más evidente de dar una clave a un agente de IA es pegarla en tu mensaje. Funciona, pero entonces la clave forma parte del historial del chat, en texto plano, junto con todo lo demás que has escrito.

La tarjeta de secretos mantiene el valor fuera de la conversación. Lo introduces en los campos de la tarjeta, no en el cuadro de mensaje, y se guarda como secreto del proyecto. El agente sigue con la clave disponible en el entorno de pruebas.

Guardar las claves en los ajustes del proyecto, en lugar de en el código, tiene además otras ventajas:

• Las claves no quedan en el control de versiones. Tu código se refiere a una clave por su nombre; el valor vive en los ajustes del proyecto.
• El agente y tu app en ejecución ven la misma configuración. No hay copias que se desfasen.
• Puedes rotar una clave sin reescribir el código. Cambias el valor en los ajustes y el código sigue leyéndolo por su nombre.

Si las variables de entorno te resultan nuevas, nuestra guía sobre qué son las variables de entorno y los secretos explica la idea desde cero.

Cómo usar la tarjeta de secretos

1. Pide la función, por ejemplo: «envía un correo de bienvenida cuando alguien se registre».
2. Cuando el agente necesite una clave, aparece en el chat una tarjeta de solicitud de secretos con el valor que necesita.
3. Introduce el valor en los campos de la tarjeta, no en el cuadro de mensaje.
4. Confirma. El valor se guarda como secreto del proyecto.
5. El agente continúa, con la clave disponible en el entorno de pruebas.

Cómo añadir secretos tú mismo

1. Abre los ajustes del proyecto y después Secretos.
2. Añade claves como STRIPE_SECRET_KEY, OPENAI_API_KEY o las credenciales de tu propio servicio.
3. Pide al agente que las lea de la forma estándar de tu framework; por ejemplo, desde process.env en una app de Node.
4. Vuelve a publicar si una app publicada necesita los nuevos valores.

También puedes escribir /secrets en el chat para añadirlos o actualizarlos desde ahí.

Cambiar un secreto en una app publicada

Una app publicada recoge los secretos en el momento de publicarla. Después de añadir o cambiar uno, vuelve a publicar para que el despliegue en vivo reciba el nuevo valor. Hasta entonces, los visitantes siguen usando la app con la configuración anterior.

Consejos de seguridad

• Nunca subas secretos al repositorio. Guárdalos en los ajustes del proyecto.
• Usa claves solo del servidor para las operaciones privilegiadas. Una clave que puede cobrar tarjetas o enviar correos debe estar en código que se ejecute en el servidor, nunca en algo que el navegador del visitante descargue.
• Si una clave aparece alguna vez en el historial del chat, rótala. Crea una clave nueva en el proveedor, revoca la antigua y actualiza el valor en los ajustes del proyecto. Considera expuesta cualquier clave que se haya pegado en un chat.

Límites

• La tarjeta solo sirve si la usas. Si pegas una clave en el cuadro de mensaje de todos modos, queda en la conversación. Rótala en el proveedor y actualiza el valor guardado.
• Las apps publicadas necesitan volver a publicarse para recoger secretos nuevos o modificados.
• Guardar una clave de forma segura no hace seguro cualquier uso de ella. Dónde se usa la clave sigue importando: mantén las claves privilegiadas en el lado del servidor de tu app.

Si quieres saber más sobre cómo mantener una app segura antes de compartirla, consulta nuestra lista de comprobación de seguridad para apps creadas con IA.

La documentación tiene todos los detalles: Variables de entorno y secretos y Secretos en el chat.