2026-11-10 00:22 (UTC+8), APIYI publicó un aviso de restablecimiento: el periodo de gracia seguirá vigente hasta el 2027-12-31 23:59 (UTC+8). Ahora puedes iniciar sesión en la consola y vincular directamente una Passkey y la 2FA, sin esperar 72 horas. La desactivación de los tokens del sistema antiguo solo está prevista para el 2026-11-11 (UTC+8). La plataforma indicó que decidirá si amplía el plazo según el uso. A fecha de 2026-11-10, todavía no había ningún aviso nuevo que confirmara que los tokens «ya se han desactivado» o que «se ha ampliado el plazo».
Antes de empezar, conviene distinguir los tres tipos de credenciales para evitar errores en los pasos siguientes. Para iniciar sesión en el sitio web, se usan la contraseña, la Passkey y la 2FA; para invocar modelos, se usa una clave de modelo que empieza por sk-; y para que los scripts consulten el saldo y los registros o administren claves, se usa un token de acceso personal que empieza por nap_. No son intercambiables. En este artículo, te guiaremos para configurar cada uno siguiendo el orden real de las páginas del centro de usuario.
Puntos clave sobre Passkey, 2FA y tokens de APIYI
La siguiente tabla es la base de todo el artículo. Si surge alguna duda en los pasos siguientes, puedes volver a ella para comprobar qué credencial tienes.
| Credencial | Qué aspecto tiene | Qué permite hacer | Qué no permite hacer | Dónde se gestiona |
|---|---|---|---|---|
| Verificación de inicio de sesión (contraseña, Passkey, 2FA, GitHub) | Huella dactilar, reconocimiento facial, contraseña de bloqueo de pantalla o código dinámico de 6 dígitos | Protege el inicio de sesión en la consola y sirve para volver a verificar la identidad en operaciones sensibles, como las exportaciones | No permite invocar modelos ni usar interfaces de gestión | Centro personal |
| Clave de modelo (API Key) | Empieza por sk- |
Invocar modelos como OpenAI, Claude y Gemini | No protege el inicio de sesión; si se filtra, la 2FA tampoco lo impedirá | Página de tokens |
| Token de acceso personal | Empieza por nap_ |
Permite que los scripts consulten el saldo y los registros, y gestionen claves de modelo | No permite invocar modelos, cambiar la contraseña ni modificar la verificación en dos pasos | Centro personal → Opciones de cuenta |
La dirección del centro personal es https://api.apiyi.com/account/profile. También puedes acceder desde «Centro personal», en la esquina superior derecha del sitio web o en la navegación lateral. Todas las vinculaciones y creaciones que se indican más adelante empiezan en esta página.
¿Sigue apareciendo el aviso de esperar 72 horas? Cómo entender ahora Passkey y 2FA de APIYI
La regla de las 72 horas no se ha cancelado; simplemente está suspendida durante el periodo de gracia. A continuación, separamos en cuatro categorías lo que dicen la documentación oficial y los avisos de la plataforma, el procedimiento recomendado y lo que no está especificado en la documentación. Así evitamos confundir las suposiciones con las conclusiones.
| Tipo de información | Contenido |
|---|---|
| Regla oficial original | Las cuentas que solo inician sesión con contraseña deben permanecer estables durante 72 horas en la misma sesión y entorno de inicio de sesión antes de poder vincular un método por primera vez. Si cambias de red, el periodo de espera vuelve a empezar. |
| Aviso de la plataforma (10-04) | Desde ahora y hasta el 31-12-2027 a las 23:59 (UTC+8), estará vigente un periodo de gracia para la vinculación. Después de iniciar sesión, podrás vincular directamente el método. Los inicios de sesión de alto riesgo seguirán bloqueándose según la regla original. |
| Aviso de la plataforma (11-10) | Tras el cambio de servidor del 6 de noviembre, la política flexible dejó de aplicarse temporalmente en el nuevo entorno. Ya se ha restablecido. |
| Tras el periodo de gracia | Se restablecerá la regla original. En un entorno nuevo, las cuentas que inicien sesión solo con contraseña deberán permanecer estables durante 72 horas antes de añadir un método de verificación. Esto no afecta a los métodos que ya estén vinculados. |
| Lo que no especifica la documentación | La documentación no indica cómo se bloquearán específicamente los inicios de sesión de alto riesgo tras el periodo de gracia ni si habrá avisos posteriores. |
Si después del 6 de noviembre viste el aviso «debes esperar», se debió al cambio de servidor, no a un problema con tu cuenta. Ahora puedes actualizar la página e intentarlo de nuevo. Al periodo de gracia todavía le queda más de un año, pero te recomendamos vincular el método hoy mismo. Así, después de finales de 2027, no tendrás que esperar 72 horas la próxima vez que inicies sesión desde un entorno nuevo.
🎯 Recomendación: La vinculación se realiza mientras ya has iniciado sesión y solo añade un método de verificación. No afecta al saldo, las claves de modelo ni el historial de invocaciones. Las llamadas a la API de APIYI no se interrumpirán durante el proceso de vinculación.
En qué orden configurar Passkey y 2FA en APIYI
El orden recomendado oficialmente es configurar primero Passkey y después 2FA como método de respaldo. Si lo haces al revés, puede surgir un problema que explicamos en la siguiente sección.
Paso 1: Configura APIYI Passkey
Abre tu perfil, desplázate hasta el final de la página y, en «Opciones de cuenta», haz clic en Configurar Passkey. El navegador abrirá una ventana del sistema con la pregunta «¿Dónde quieres guardar la clave de acceso de apiyi.com?». Antes de continuar, comprueba que el dominio que aparece sea este. Si no coincide, no sigas.
Después de elegir dónde guardarla, confirma con tu huella, reconocimiento facial o contraseña de desbloqueo. Al terminar, el botón cambiará a Desvincular Passkey y, al lado, aparecerá la última vez que se usó. La próxima vez que abras la página de inicio de sesión, podrás elegir Passkey para acceder.
La ubicación que elijas determina si podrás usar esta clave en otros dispositivos. Puedes guiarte por esta tabla:
| Ubicación | Para qué sirve | ¿Se sincroniza? |
|---|---|---|
| Llavero de iCloud | Mac, iPhone y iPad | Se sincroniza entre tus dispositivos Apple |
| Gestor de contraseñas de Google | Chrome y Android | Se sincroniza entre dispositivos |
| Teléfono, tableta o clave de seguridad | Para iniciar sesión temporalmente en el equipo de otra persona: escanea el código QR en el equipo y verifica desde tu propio teléfono | La clave se guarda en el teléfono o en la clave de seguridad |
| Perfil del navegador en este dispositivo | Para usarla solo en este equipo | No se sincroniza; se pierde si cambias de equipo o reinstalas el sistema |
Conviene tener claras algunas cosas sobre Passkey. Se basa en WebAuthn / FIDO2: la clave privada solo se guarda en el dispositivo o en el gestor de contraseñas, y el servidor conserva únicamente una clave pública de la que no se puede deducir la privada. La huella y el reconocimiento facial se verifican localmente y no se envían. Passkey no sirve para registrar una cuenta nueva ni reemplaza la contraseña: después de configurarlo, puedes seguir iniciando sesión con contraseña o con GitHub. Además, no lo configures en un equipo público.
Paso 2: Configura 2FA y guarda una copia de los códigos de respaldo
En tu perfil, busca la sección de 2FA en la parte inferior de la página. Escanea el código QR con Google Authenticator, Microsoft Authenticator u otra aplicación compatible con TOTP. Después, introduce el código dinámico de 6 dígitos que la aplicación actualiza cada 30 segundos.
Cuando termines de configurarlo, la página te mostrará los códigos de respaldo: asegúrate de guardarlos. Si cambias de teléfono, pierdes el dispositivo o eliminas la aplicación de autenticación por error, necesitarás esos códigos para volver a iniciar sesión. No guardes solo una captura de pantalla en el mismo teléfono que tiene la aplicación: puedes guardarlos en el gestor de contraseñas de otro dispositivo o anotarlos en papel y conservarlos en un lugar seguro.
Una vez configurado todo, es posible que el sitio te pida el código dinámico de 2FA o que verifiques Passkey para iniciar sesión, crear una API KEY o exportar datos, entre otras acciones sensibles. Es una comprobación de seguridad normal, no un error.
Qué hacer si no puedes vincular una Passkey o 2FA en APIYI y aparece el mensaje «No se pudo guardar el estado de verificación»
Problema 1: La página sigue indicando que debes esperar
El periodo de gracia se aplica según la sesión de inicio de sesión. Algunas sesiones iniciadas hace tiempo ya habían activado el requisito de volver a verificar la identidad y no se habilitarán automáticamente. Si sigues intentándolo en esa misma sesión, el sistema continuará pidiéndote que esperes. Sigue estos pasos:
- Actualiza la página e inténtalo de nuevo.
- Si el mensaje de espera sigue apareciendo, cierra sesión y vuelve a iniciarla para crear una sesión nueva.
- Espera aproximadamente un minuto a que el sistema habilite el acceso. Después, actualiza la página de configuración de la cuenta y vuelve a intentar vincular la Passkey.
- Si aún no funciona, prueba con la versión más reciente de Chrome, Edge o Safari y comprueba que el dispositivo tenga configurado un código de bloqueo de pantalla o la autenticación biométrica.
Además, algunos navegadores integrados en aplicaciones no son compatibles con WebAuthn. Es posible que, al tocar «Vincular Passkey», no aparezca ninguna ventana. En ese caso, inténtalo desde el navegador del sistema.
Problema 2: Vinculaste 2FA primero y, al intentar vincular una Passkey, aparece el mensaje «No se pudo guardar el estado de verificación»
Después de vincular 2FA, el sistema te pedirá que vuelvas a verificar la sesión actual. Si intentas vincular una Passkey en ese momento, aparecerá el mensaje «No se pudo guardar el estado de verificación». Para solucionarlo, cierra sesión y vuelve a iniciarla con tu contraseña y el código dinámico de 2FA. Luego, vuelve a la parte inferior del centro personal y toca «Vincular Passkey».
Si creaste la cuenta con el registro en un clic de GitHub, inicia sesión con GitHub; no necesitas configurar una contraseña aparte. Sea cual sea el tipo de cuenta, te recomendamos conservar un método de acceso alternativo, como una contraseña, el correo electrónico registrado o GitHub. No dependas únicamente de la Passkey de un solo dispositivo.
💡 Consejo: Vincular una Passkey modifica tus métodos de verificación. La documentación oficial indica: «Cualquier cambio en la contraseña, la verificación en dos pasos o las claves de acceso revocará todos los tokens de acceso personal». Si después de vincularla tus scripts de administración empiezan a devolver un error 401, vuelve al centro personal, crea un nuevo token de acceso personal y sustitúyelo. La invocación del modelo no se verá afectada.
Cómo distinguir las claves de modelo, los tokens de acceso personal y los tokens del sistema antiguo de APIYI
Las claves de modelo (sk-) se gestionan en la página de tokens: https://api.apiyi.com/token. Sirven para invocar modelos y puedes crear tantas como necesites. Los tokens de acceso personal (nap_) se gestionan en las opciones de cuenta del centro personal y sirven para llamar a las interfaces de administración. Cada cuenta puede tener hasta 20. Los tokens del sistema antiguo son credenciales anteriores para las interfaces de administración y serán sustituidos por los tokens de acceso personal.
| Aspecto | Token del sistema antiguo | Token de acceso personal |
|---|---|---|
| Permisos | Acceso a todos los permisos de la cuenta | Se seleccionan según las necesidades; los permisos de lectura, escritura y consulta de claves son independientes |
| Cantidad | 1 por cuenta | Hasta 20 |
| Caducidad | No caduca | 30 días de forma predeterminada; puedes elegir 90, 180 o 365 días, una duración personalizada o que no caduque nunca |
| Lista de IP permitidas | No compatible | Compatible con IPv4, IPv6 y CIDR; no se puede modificar después de crearla |
| Prefijo | Sin prefijo fijo | nap_ |
| Estado | Está previsto que deje de funcionar a partir del 2026-11-11 (UTC+8) | Recomendado actualmente |
Cambia los scripts de gestión a tokens de acceso personal de APIYI
- Abre el centro personal. En las opciones de cuenta, selecciona Tokens de acceso personal y, después, haz clic en Crear token, en la esquina superior derecha.
- Asígnale un nombre según su uso, por ejemplo, «Script de conciliación» o «Monitor de saldo». Te recomendamos elegir una fecha de vencimiento lejana, como 365 días.
- Deja vacía la lista de IP permitidas (si está vacía, no hay restricciones) y marca solo los permisos que necesita el script.
- Después de hacer clic en Crear token, cópialo y guárdalo de inmediato. Luego, reemplaza el valor anterior por el nuevo token en las variables de entorno o en la configuración del script.
No hace falta cambiar la dirección de la API ni el código. La dirección base sigue siendo https://api.apiyi.com. En la cabecera Authorization, introduce el token directamente; puedes incluir o no el prefijo Bearer.
Selecciona los permisos según los endpoints. Marcar permisos de más aumenta el riesgo:
- Consulta de saldo
GET /api/user/self: marca «Perfil personal · Lectura». - Consulta de registros
GET /api/log/self: marca «Uso y registros personales · Lectura». - Para listar o consultar claves de modelos, marca «Claves de modelos · Lectura»; para crearlas, modificarlas o eliminarlas, marca «Claves de modelos · Escritura»; para obtenerlas en texto sin cifrar, marca «Claves de modelos · Ver claves».
Ten en cuenta que marcar el permiso de escritura no permite leer y que marcar el de lectura no permite ver las claves en texto sin cifrar. Aunque el token tenga permisos de escritura, no podrás realizar operaciones como cambiar la contraseña o configurar la verificación en dos pasos: para eso, tendrás que iniciar sesión en el sitio web.
Cuando el script ya funcione, crea otro token para producción con una lista de IP permitidas e incluye las IP públicas de salida de los servidores de producción, los servidores de respaldo y demás. Separa las direcciones con comas en inglés. Cuando hayas cambiado al token de producción, elimina el token de prueba que no tiene restricciones de IP. Usa un token distinto para cada script: si uno se filtra, solo tendrás que eliminar ese token.
🚀 Recomendación de migración: Lo más seguro es completar el cambio en APIYI antes de la fecha prevista de desactivación, el 2026-11-11. La documentación no incluye avisos posteriores sobre si la desactivación se llevará a cabo ese día ni sobre una posible prórroga de última hora, así que no cuentes con que la retrasen.
Qué hacer primero si se filtra una clave de APIYI o un script devuelve 401
Si se filtra una clave de modelo: primero desactívala y luego investiga
El saldo de la cuenta es el límite máximo disponible de una clave de modelo. Si se filtra, el primer paso es eliminar o desactivar el token en https://api.apiyi.com/token. Es la única acción que detiene el uso indebido de inmediato, así que debe tener prioridad sobre cualquier investigación. Después, crea un token nuevo: desactiva el límite ilimitado, indica el límite autorizado y, si lo necesitas, marca «Habilitar opciones avanzadas» para configurar una lista de IP permitidas y los modelos disponibles. Por último, actualiza la configuración de la aplicación. Revisa también los registros de llamadas en busca de modelos desconocidos, volúmenes de llamadas inusuales o actividad en horarios inesperados, y elimina las posibles filtraciones del código, la documentación, las capturas de pantalla y los historiales de conversación.
Si habías guardado la clave en Railway y todavía no la habías rotado, desactiva primero la antigua, crea una nueva, actualiza las variables de entorno y vuelve a desplegar. Si no has usado Railway, no hace falta rotar la clave por este aviso.
Si un script devuelve 401 o 403: consulta el mensaje de error
| Código de estado | Mensaje | Causa | Solución |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
Sigues usando un token del sistema antiguo que ya superó la fecha de desactivación | Crea un token de acceso personal y úsalo en su lugar |
| 401 | This access token may not be used from the current IP address. |
La IP de origen no está en la lista de permitidas | No se puede cambiar la lista; crea un token nuevo |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
No marcaste el permiso correspondiente | Crea un token nuevo y marca los permisos que necesitas |
| 401 | Solo indica que el token no es válido | Ha caducado, se ha eliminado o has cambiado la contraseña, la verificación en dos pasos o la clave de acceso | Vuelve a crearlo desde el centro personal |
Prevenir estos problemas en el día a día es mucho más fácil que solucionarlos después. Desactiva el límite ilimitado de las claves de modelo de prueba, fija un límite recomendado de entre 5 y 50 dólares y establece una fecha de caducidad. Usa claves distintas para producción y pruebas, no incluyas claves reales en el código ni en Git y, en las capturas que compartas, usa un marcador de posición como sk-your-api-key.
Preguntas frecuentes (FAQ)
P1: Si vinculé una Passkey o 2FA de APIYI, ¿puedo seguir iniciando sesión con contraseña?
Sí. La verificación en dos pasos añade una capa de seguridad, pero no sustituye la contraseña. El inicio de sesión con GitHub también sigue disponible. Algunas operaciones pueden requerir un código dinámico o la verificación con Passkey.
P2: ¿Qué hago si pierdo los códigos de respaldo de 2FA?
Si todavía puedes iniciar sesión, ve a tu centro de usuario, vuelve a configurar 2FA y guarda los nuevos códigos de respaldo. Si no tienes los códigos y tampoco puedes acceder a tu cuenta, escribe a [email protected]. Te ayudarán a desvincular 2FA después de verificar tu identidad.
P3: ¿Conviene configurar una lista de IP permitidas para el token de acceso personal si uso una red doméstica?
No es recomendable. La IP de salida de las conexiones domésticas y de oficina puede cambiar, y la lista de IP permitidas podría provocar errores 401 de forma inesperada. En su lugar, puedes usar permisos de solo lectura y establecer una fecha de vencimiento más cercana.
P4: ¿Puedo usar el token de acceso personal para invocar modelos?
No. Para invocar modelos, sigue usando una clave de modelo que empiece por `sk-` y configura `https://api.apiyi.com/v1` como `base_url`. El token `nap_` solo sirve para las interfaces de saldo, registros y administración de tokens.
P5: ¿Puedo cambiar directamente una lista de IP permitidas incorrecta del token de acceso personal?
No. Una vez creada, no se puede modificar la lista de IP permitidas de un token de acceso personal. Tendrás que crear otro token y eliminar el anterior. La lista de IP permitidas de las claves de modelo es una configuración distinta: puedes vaciarla temporalmente y volver a añadir las IP después. No confundas ambas opciones.
P6: ¿Conservaré mi Passkey si cambio de teléfono?
Depende de dónde esté guardada. Si está en el Llavero de iCloud o en el Administrador de contraseñas de Google, se sincronizará. Si solo está en el perfil local del navegador, no se sincronizará. Si pierdes el dispositivo, inicia sesión con tu contraseña o con GitHub, desvincula la Passkey anterior y vuelve a configurarla en el nuevo dispositivo.
Resumen: completa estas cuatro tareas hoy
- Vincula una Passkey: ve a las opciones de cuenta, al final de tu perfil, y selecciona «Vincular Passkey». Si puedes, elige una ubicación de guardado que se sincronice.
- Vincula la verificación en dos pasos (2FA) y guarda los códigos de respaldo en otro lugar: no los dejes únicamente en el teléfono donde tienes instalada la aplicación de autenticación.
- Desactiva el límite ilimitado de los tokens de prueba: en la página de tokens, establece un límite bajo para las claves del modelo que uses para probar.
- Cambia los scripts de administración a un token de acceso personal: antes de la fecha prevista para desactivar los tokens del sistema, el 2026-11-11, sustituye el token antiguo por uno
nap_.
Puedes empezar las cuatro tareas desde https://api.apiyi.com/account/profile y completarlas en unos quince minutos. Al terminar, el inicio de sesión, la invocación del modelo y los scripts de administración tendrán credenciales independientes. Si alguna se ve comprometida, solo tendrás que ocuparte de esa.
Autor: Equipo técnico de APIYI
Consultas técnicas: Para obtener más información sobre cuentas y tokens, consulta las preguntas frecuentes sobre seguridad de cuentas y tokens de acceso personales en el centro de documentación de docs.apiyi.com.
