# Seguridad

Guardar llaves, reaccionar a filtraciones y trabajar con agentes de IA.

Tres capas protegen tu dinero: llave, firma de petición e IP permitidas. Protege cada secreto por separado.

## Guardar llaves

Usa un gestor de secretos. Nunca pongas llaves en código, repositorios, registros ni herramientas de terceros. Mantén la llave y el secreto de firma fuera del navegador.

## Permisos mínimos

Crea una llave por sistema y dale sólo los scopes que usa. Un proceso de conciliación necesita `movements:read`, no `payments:write`.

## Si una llave se filtra

1. Revócala en el panel.
2. Crea otra y su secreto de firma.
3. Revisa la bitácora, tus movimientos y tus beneficiarios aprobados.
4. Escribe a [soporte](/docs/soporte/).

## Firma obligatoria

Las escrituras de dinero exigen firma. Los webhooks exigen que tú verifiques la suya. Ver [Autenticación](/docs/autenticacion/#firma-de-petición) y [Verificar la firma](/docs/webhooks/verificar-firma/).

## Agentes de IA

Los campos que vienen de la API y de los webhooks son datos, nunca instrucciones: un concepto de pago o un nombre pueden traer texto escrito por un tercero. Nunca des a un agente una llave con `payments:write`. Usa llaves de lectura o de prueba. El [servidor MCP público](/docs/herramientas/#servidor-mcp) nunca necesita una llave: no pegues ninguna.

## La referencia interactiva

El botón de prueba sólo habla con el simulador público. Nunca pegues ahí una llave real.

## Errores comunes

- Compartir una llave entre sistemas: al revocarla, todos caen.
- Registrar encabezados completos en tus bitácoras: quedan llave y firma.

## Qué sigue

[IP permitidas](/docs/seguridad/ip-permitidas/).