Gestionar, regenerar y revocar tokens de API
Encuentra tus tokens de API, regenera un secreto (una vez, con una superposición opcional de 24 horas), revoca un token, comprende el vencimiento y las listas de permitidos de IP, y descubre por qué un token dejó de funcionar.
La pestaña Tokens enumera tus tokens de API con su acceso, límites y último uso. Desde allí, puedes regenerar el secreto de un token, revocar un token y ver por qué un token dejó de funcionar.
Dónde encontrar tus tokens
Abre el menú del espacio de trabajo y elige AI agents & API. La pestaña Tokens es la primera; cada pestaña muestra su recuento.
Quién ve qué tokens:
| Tu rol | Ves | Puedes |
|---|---|---|
| Propietario o administrador | "Todos los tokens en este espacio de trabajo. Los miembros ven los suyos." Filtra por persona con el menú del propietario (Todos muestra todos). | Revocar cualquier token. Regenerar solo los tuyos. |
| Editor o Creador de contenido | "Tus tokens. Los agentes que los usan actúan como tú." | Revocar y regenerar tus propios tokens. |
Cada fila muestra el Nombre (con los últimos caracteres del secreto, como clv_agent_…k7Qe), el Propietario, el Acceso (sus permisos), los Sitios que cubre, Creado, Último uso y Caduca. El pie de página cuenta los tokens activos del espacio de trabajo frente a su límite. Insignias en una fila:
| Insignia | Significado |
|---|---|
| Gasta créditos | El token tiene credits:spend. Señálalo para ver sus límites: Por trabajo, Por día, Por mes ("sin límite" cuando está vacío) y "Aprobado automáticamente por debajo de n créditos" o "Una persona aprueba cada inicio pagado". |
| IP limitada | El token tiene una lista de permitidos de IP y solo funciona desde esas direcciones. |
| Excede el rol | "El rol del propietario cambió. Se rechazan las llamadas que necesitan las capacidades tachadas." |
| Revocado / Caducado | El token ya no funciona. El motivo aparece junto a él (consulta Por qué un token dejó de funcionar). |
Los tokens revocados y caducados están ocultos de forma predeterminada. Haz clic en Mostrar revocados y caducados (recuento) para enumerarlos; permanecen en la lista durante 30 días.
Cambiar el acceso de un token
Los permisos, sitios, vencimiento, límites de gasto y lista de permitidos de IP de un token no se pueden editar después de su creación. Para cambiar cualquiera de ellos, crea un nuevo token con la nueva configuración, cambia tu agente y luego revoca el anterior.
Regenerar el secreto de un token
Regenera cuando un secreto pueda haberse filtrado, o para rotarlo según un programa. El nuevo secreto tiene el mismo nombre, acceso, sitios, lista de permitidos de IP, límites de gasto y fecha de vencimiento.
Abrir el menú del token
En la pestaña Tokens, abre el menú ⋯ en la fila del token y elige Regenerar secreto.
Elegir cuándo se detiene el antiguo secreto
El cuadro de diálogo pregunta "¿Regenerar “nombre”?": "Obtienes un nuevo secreto con el mismo acceso. El antiguo deja de funcionar." Marca Mantener el secreto antiguo funcionando durante 24 horas si los agentes todavía lo están usando y necesitas tiempo para cambiarlos. Déjalo sin marcar para detener el secreto antiguo de inmediato.
Copiar el nuevo secreto
Haz clic en Regenerar. El cuadro de diálogo Token creado muestra el nuevo secreto una vez. Cópialo, actualiza tu agente o almacén de secretos y luego haz clic en Lo he guardado.
Reglas para regenerar:
- Solo la persona que creó un token puede regenerarlo. Un propietario o administrador que no lo creó ve "Solo la persona que creó este token puede regenerarlo. Puedes revocarlo."
- Un secreto se puede regenerar una vez. Después de eso, la fila antigua muestra "Reemplazado por un secreto regenerado" y no tiene la opción Regenerar secreto; regenera el nuevo token en su lugar. Intentarlo de nuevo en el secreto antiguo devuelve "Este token ya fue regenerado, revocado o ha caducado; usa su reemplazo o crea uno nuevo."
- La fecha de vencimiento no se mueve. Un token creado por 90 días sigue caducando en su fecha original. Si las 24 horas del secreto antiguo pasaran de esa fecha, se detiene en la fecha de vencimiento.
- Puedes regenerar incluso cuando el espacio de trabajo está en su límite de tokens activos. Durante la superposición de 24 horas, ambos secretos funcionan y ambos cuentan como tokens activos.
- Regenerar requiere que el espacio de trabajo esté en Pro o superior; de lo contrario, Regenerar secreto abre el cuadro de diálogo de actualización.
Revocar un token
- Abre el menú ⋯ en la fila del token y elige Revocar.
- Confirma con Revocar token: "Los agentes que usan este token pierden el acceso inmediatamente. Esto no se puede deshacer."
Un token revocado libera su lugar en el límite de tokens activos del espacio de trabajo de inmediato.
Caducidad
Cada token caduca. Tú eliges la vida útil cuando lo creas: 7 días, 30 días, 90 días (la predeterminada) o 1 año. No existe la opción "nunca caduca", por lo que un token olvidado no puede permanecer válido para siempre. La columna Caduca muestra la fecha.
Después de la fecha de vencimiento, cada llamada devuelve "Este token ha caducado. Crea uno nuevo en Integrations → AI agents & API." Un token caducado no se puede renovar ni regenerar; crea uno nuevo.
Lista de permitidos de IP
Un token puede limitarse a las direcciones desde las que se ejecuta tu agente (por ejemplo, un ejecutor de CI o un servidor). Lo configuras en el paso Límites del asistente bajo Avanzado → Lista de permitidos de IP: "Opcional. Una dirección o rango por línea; se rechazan las llamadas desde cualquier otro lugar."
- Ingresa direcciones IPv4 o IPv6 (
203.0.113.7) o rangos en formato CIDR (198.51.100.0/24), hasta 20 entradas. - Déjalo vacío para permitir cualquier dirección. El paso de revisión mostrará entonces Cualquier dirección.
- Una llamada desde otra dirección devuelve "Este token no se puede usar desde esta dirección IP."
- Se rechaza una entrada que no sea una dirección o rango: "valor no es una dirección IP o rango."
Por qué un token dejó de funcionar
| Se muestra en el token | Qué sucedió | Qué hacer |
|---|---|---|
| Caducado | Su vida útil terminó. | Crea un nuevo token. |
| "Revocado por su propietario" | La persona que lo creó lo revocó. | Crea un nuevo token si todavía es necesario. |
| "Revocado por un administrador" | El propietario del espacio de trabajo o un administrador lo revocó. | Pregúntales por qué antes de crear uno nuevo. |
| "Revocado: el propietario dejó el espacio de trabajo" | La persona que lo creó fue eliminada del espacio de trabajo. Todos sus tokens están revocados. | Alguien que todavía esté en el espacio de trabajo crea un nuevo token. |
| "Revocado: la cuenta del propietario fue eliminada" | El propietario eliminó su cuenta de Clevera. | Crea un nuevo token. |
| "Reemplazado por un secreto regenerado" | El secreto fue regenerado. | Usa el nuevo secreto. |
| "Revocado: encontrado en un repositorio público" | El token se encontró en un repositorio público de GitHub y se revocó automáticamente. | Elimínalo del historial del repositorio, luego crea un nuevo token y guárdalo en un almacén de secretos. |
| "Revocado: actividad inusual" | Realizó muchas solicitudes rechazadas en pocos minutos (más de 50 en 10 minutos). | Revisa la actividad para ver qué intentó, corrige el agente y luego crea un nuevo token. |
| "Revocado: detección de reutilización de token" / "Revocado: aplicación desconectada" | Estos se aplican a aplicaciones conectadas, no a tokens de API. | Conecta la aplicación de nuevo. |
| Cada llamada devuelve "La API de agente no está en el plan de este espacio de trabajo. Está en Pro y superior." | El espacio de trabajo dejó de ser Pro, Business o Custom. | Actualiza a Pro. Consulta Si el espacio de trabajo deja Pro. |
Actividad inusual
Clevera supervisa cada token en busca de ráfagas y avisa al propietario del espacio de trabajo con una notificación de "Actividad inusual en token":
- Muchas solicitudes rechazadas en pocos minutos: el token se revoca. "Realizó muchas solicitudes rechazadas en pocos minutos."
- Un número inusualmente alto de cambios en pocos minutos (más de 200 escrituras o 20 eliminaciones de página en 10 minutos): sus escrituras se pausan durante 10 minutos. Las llamadas devuelven "Las escrituras de este token están pausadas después de una ráfaga inusual de cambios. Se notificó al propietario del espacio de trabajo." Las lecturas siguen funcionando.
- Créditos gastados inusualmente rápido: el token no puede iniciar trabajo pagado durante 24 horas. "Gastó un número inusualmente alto de créditos en pocos minutos, por lo que no puede iniciar trabajo pagado por ahora."
Si el espacio de trabajo deja Pro
AI agents & API está en los planes Pro, Business y Custom. Si el espacio de trabajo se mueve a Starter o Free, la página muestra "AI agents & API están incluidos en Pro": "Actualiza para permitir que Claude, ChatGPT y tus scripts funcionen en este espacio de trabajo. Los tokens y aplicaciones existentes dejan de funcionar hasta entonces; todavía puedes revocarlos aquí."
- Los tokens permanecen en la lista y se pueden revocar, pero cada llamada se rechaza con
plan_locked. - Regenerar secreto abre el cuadro de diálogo de actualización en su lugar.
- Actualizar de nuevo a Pro hace que los tokens vuelvan a funcionar. No se elimina nada; los tokens siguen caducando en sus fechas.