Rota una clave de API sin interrupciones

Qué vas a hacer

En Credentials, Rotate reemplaza el secreto de una clave y el secreto anterior deja de funcionar de inmediato. Para evitar solicitudes fallidas en un cambio planificado, usa dos claves en paralelo por un momento. Puedes tener hasta 20 claves activas por cuenta (Live y Test cada una).

• Acceso al portal, con el contacto del dueño guardado (sin él se rechazan las acciones sobre claves).
• Para claves Live: el modo Live aprobado.
• Acceso a cada lugar donde se guarda la clave (gestor de secretos, entorno del servidor, plugins).

Pasos (rotación planificada)

1. 01
   Encuentra dónde se usa la clave

   Abre Credentials en el lado correcto (Live o Test). Cada clave muestra cuándo se usó por última vez, la IP y el user agent, y un historial de solicitudes de 30 días. Anota cada integración que usa la clave anterior.

2. 02
   Crea el reemplazo

   Haz clic en Create key con un nombre nuevo (por ejemplo "Backend 2026-11"). Copia la clave cuando se muestre.

3. 03
   Despliégala en todas partes

   Actualiza VEXPAY_API_KEY en cada entorno y plugin que usaba la clave anterior, y vuelve a desplegar.

4. 04
   Confirma que la clave nueva está en uso

   Llama a GET /v1/banks con la clave nueva. Luego revisa Credentials: la clave nueva muestra un "Last used" reciente y la anterior deja de moverse.

5. 05
   Revoca la clave anterior

   Haz clic en Revoke en la clave anterior. Deja de autenticar al instante; su historial de pagos se conserva.

curl "${API_URL}/v1/banks" \
  --header "x-api-key: ${VEXPAY_API_KEY}"
# 200 = la clave nueva funciona · 401 = clave errada, revocada o rotada

Si una clave se filtró

1. 01
   Detenla ya

   Haz clic en Rotate (obtienes un secreto nuevo para la misma clave) o Revoke en la clave expuesta. Hazlo antes de actualizar tus servidores: una interrupción corta es mejor que una clave filtrada que funciona.

2. 02
   Despliega el secreto nuevo

   Actualiza cada entorno con el secreto nuevo y comprueba con GET /v1/banks.

3. 03
   Revisa el historial de acceso

   En Credentials, revisa los últimos 30 días de solicitudes en busca de IPs o user agents que no reconozcas, y revisa Payments y Payouts por actividad que no iniciaste.

4. 04
   Avisa a VEXPay

   Contacta a VEXPay con lo que encontraste para que el equipo revise la cuenta contigo.

Comprueba que funcionó

• Solo la clave nueva muestra uso reciente en Credentials; la anterior aparece como Revoked.
• No hay respuestas 401 en tus logs después del cambio.
• Si estás suscrito, recibiste tenant.api_key.created, tenant.api_key.rotated o tenant.api_key.revoked.

Si algo sale mal

Una rotación afecta solo al modo donde se hace: rotar una clave Test nunca toca Live. Relacionado: Autenticación