Claves de API: crear, autorizar IPs y revocar
Cómo crear una clave de API de SolumeCore, guardar el secreto, pedir la autorización de tus IPs, entender sus límites y revocarla o borrarla.
Una clave de API permite que tus propios scripts, herramientas o tu panel de reventa gestionen tus servicios VPS y VDS de SolumeCore sin iniciar sesión. La creas en el panel de cliente, en Cuenta → API y webhooks, copias el secreto una sola vez, pides a soporte que autorice la IP desde la que corre tu código y a partir de ahí llamas a la API con la cabecera Authorization: Bearer. Esta guía trata de la clave en sí: cómo crearla, nombrarla, revisarla, revocarla y borrarla, qué puede tocar y cómo mantenerla segura. Los endpoints están en la referencia de la API de cliente.
Hay dos cosas que sorprenden a casi todos la primera vez. El secreto se muestra una sola vez, y una clave recién creada rechaza todas las peticiones hasta que el equipo de SolumeCore autorice al menos una dirección IP para ella. Es intencional, no un fallo.
Crear una clave paso a paso
- Abre el panel de cliente (dashboard.solumecore.com) y entra en Cuenta → API y webhooks. La página tiene tres pestañas: Claves de API, Webhooks y Primeros pasos.
- En Claves de API, pulsa Nueva clave.
- Escribe un Nombre (hasta 60 caracteres). Elige algo que diga quién o qué usará la clave, como el programa o el cliente; por ejemplo, «Panel de reventa».
- Pulsa Crear clave. Como una clave sobrevive a tu sesión, el panel te pide confirmar que eres tú con tu contraseña, un código de verificación en dos pasos, una passkey o un código enviado por correo. No se puede crear una clave desde una sesión de soporte.
- Una ventana muestra la Clave secreta. Cópiala en tu gestor de contraseñas o de secretos, marca Ya la guardé y continúa. La ventana no se cierra hasta que marcas la casilla.
- Pulsa Pedir que autoricen IPs. El panel abre un ticket nuevo con el asunto y el texto ya escritos; añade las direcciones IP desde las que llamará tu código y envíalo.
Cada vez que se crea una credencial así SolumeCore te avisa en el panel, y por correo cuando el envío de correos está disponible, de modo que una clave creada por alguien que usó tu sesión no pasa desapercibida.
Cómo es el secreto
Toda clave empieza por sk_live_ seguido de 43 caracteres aleatorios. El panel no vuelve a mostrar el valor completo: la lista enseña solo los 16 primeros caracteres como prefijo (por ejemplo sk_live_ab12cd34••••••••) para que distingas unas claves de otras. SolumeCore guarda únicamente un hash irreversible del secreto, así que nadie, ni siquiera soporte, puede leerlo. Si lo pierdes, revoca la clave y crea otra.
# Solo un ejemplo: no es una clave real
export SOLUME_API_KEY="sk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"Autorizar tus direcciones IP
Una clave solo funciona desde las direcciones IP que el equipo ha vinculado a esa clave en concreto. Mientras no haya ninguna, la clave muestra la etiqueta Esperando IPs y todas las peticiones devuelven 403.
- La comprobación es una coincidencia exacta con la IP pública que SolumeCore ve en la petición. Envía direcciones sueltas (IPv4 o IPv6); no existen rangos ni comodines.
- Pide todas las que necesites: tus servidores, tu oficina, tu runner de integración continua. Si tu IP de salida cambia, vuelve a pedirlo.
- Indica el nombre de la clave en el ticket. El texto precargado ya lo hace.
- El equipo añade las direcciones a mano. Cuando están vinculadas aparecen en la columna IPs autorizadas.
- Solo el equipo puede añadir o quitar direcciones. No puedes editar la lista por tu cuenta.
Si tu código corre en un proveedor que rota las direcciones de salida (plataformas sin servidor, algunas conexiones domésticas), haz las llamadas a través de una máquina con IP pública fija.
Leer la lista de claves
| Columna | Qué te dice |
|---|---|
| Nombre | El nombre que elegiste, con el prefijo de la clave debajo |
| IPs autorizadas | Las direcciones que el equipo ha vinculado, o Esperando IPs |
| Último uso | Cuándo se autenticó la clave por última vez, o Nunca |
| Creada | Fecha de creación |
| Estado | Activa o Revocada |
El panel muestra el último uso, no un historial petición por petición. Sirve para detectar una clave que ya nadie usa o una que se usó cuando no lo esperabas.
Revocar o borrar una clave
Abre el menú Más opciones de la fila.
- Revocar detiene la clave al instante. Los programas que aún la usen empiezan a recibir errores. Una clave revocada no la puedes reactivar tú; crea una nueva.
- Borrar aparece en las claves revocadas. Debes escribir el nombre de la clave para confirmar, y la clave desaparece de la lista para siempre.
- Si sospechas una filtración, revoca primero y rota después: crea una clave nueva, actualiza tus herramientas, pide las IPs para la clave nueva y borra la antigua cuando termines.
Qué puede hacer una clave
Una clave actúa en nombre de la cuenta que la creó y solo sobre los servicios de esa cuenta. No llega a los servicios de otros clientes ni a los servidores que alguien haya compartido contigo como subusuario.
| Se puede hacer con una clave | No se puede hacer con una clave |
|---|---|
| Listar tus servicios y leer el detalle de uno | Contratar, renovar o cancelar servicios |
| Encender, apagar o reiniciar una VPS o VDS | Leer facturas o cambiar la facturación |
| Leer y cambiar las reglas de firewall de un servicio | Abrir archivos, consolas o tickets |
| Usarla desde las IPs autorizadas para esa clave | Usarla desde cualquier otra dirección |
Una clave no tiene modo de solo lectura: todas pueden llamar a todos los endpoints de la API. Si necesitas separar funciones, crea una clave por herramienta y podrás revocar una sin tocar las demás. La lista completa de endpoints, cuerpos y respuestas está en la referencia de la API de cliente.
Límites de peticiones
Cada clave tiene su propio presupuesto de peticiones, que se cuenta por separado por clave, por IP de origen y por grupo de acciones (lectura, encendido y apagado, cambios de firewall). Por defecto, cada 60 segundos son 300 peticiones de lectura, 20 acciones de energía y 60 cambios de firewall. SolumeCore puede cambiar esos valores y fijar límites distintos para una clave concreta, así que tómalos como valores por defecto, no como garantías.
Las respuestas autenticadas incluyen x-ratelimit-limit y x-ratelimit-remaining. Si te pasas, recibes 429 con la cabecera retry-after en segundos: espera ese tiempo antes de reintentar. Si una integración legítima necesita más margen, abre un ticket.
Probar tu clave
curl https://api.solumecore.com/v1/services \
-H "Authorization: Bearer $SOLUME_API_KEY"| Estado | Causa habitual |
|---|---|
200 |
Funciona. Recibes la lista de tus servicios |
401 |
Falta la cabecera Authorization, o la clave es incorrecta, está revocada o se borró |
403 |
La IP no está autorizada para esa clave, tu cuenta está suspendida o cerrada, o tu IP está bloqueada |
429 |
Superaste el límite; espera lo que indique retry-after |
Por ahora los mensajes de error se devuelven en español, en JSON con un campo error. Guíate por el código de estado, no por el texto.
Buenas prácticas
- Guarda la clave en una variable de entorno o en un gestor de secretos. Nunca la pongas en una página web, en una app móvil ni en un repositorio público.
- Usa una clave por herramienta o por cliente, con un nombre claro, para que la lista te diga qué revocar.
- Autoriza solo las direcciones que de verdad usas y pide que quiten una cuando retires la máquina que hay detrás.
- Rota las claves de vez en cuando y revoca las que muestran Nunca o que nadie recuerda haber creado.
- Protege tu propia cuenta: una clave es tan segura como la cuenta que puede crearla. Consulta Seguridad de la cuenta.
- ¿Quieres un aviso cuando se cree o se revoque una clave? El evento
cuenta.seguridadlo informa; mira Webhooks y eventos de cuenta.
Documentos relacionados
- Referencia de la API de cliente
- Webhooks y eventos de cuenta
- Qué API de SolumeCore usar
- Seguridad de la cuenta
- VPS frente a VDS
- Centro de ayuda
FAQ
¿Dónde creo una clave de API en SolumeCore?
En el panel de cliente, abre Cuenta → API y webhooks, quédate en la pestaña Claves de API y pulsa Nueva clave. El secreto se muestra una sola vez, justo después de crearla.
¿Por qué mi clave de API nueva devuelve 403?
Porque todavía no hay ninguna IP autorizada para ella, o porque llamas desde otra distinta. Usa Pedir que autoricen IPs, envía el ticket con la IP pública exacta de tu servidor y espera a que el equipo la vincule.
He perdido mi clave de API. ¿Pueden mostrármela otra vez?
No. Solo se guarda un hash, así que nadie puede leer el secreto. Revoca la clave, crea una nueva y actualiza tus herramientas.
¿Puedo limitar una clave a solo lectura?
No. Una clave puede llamar a todos los endpoints de la API para tus propios servicios. Crea claves distintas por herramienta para poder revocar cada una por separado.
¿La clave sirve para servidores de juego, hosting web o facturación?
La API está pensada para servicios VPS y VDS. La facturación, los archivos, las consolas y los tickets no se alcanzan con una clave. Para servidores de juego y automatización con un asistente de IA, consulta API de IA y MCP.
¿Cómo veo lo que hizo mi clave?
La lista de claves muestra el último uso. El registro de actividad de tu cuenta también anota cuándo se crean claves. El registro detallado por petición lo conserva el equipo de SolumeCore y no se muestra en el panel.