Saltar al contenido principal
Cuando creas o lees una clave API a través de la consola o la API REST, el gateway devuelve un objeto token — el registro JSON que contiene la identidad de una clave, sus límites y los dos adjuntos de política que gobiernan su tráfico. Esta página es la referencia campo por campo de ese objeto: qué significa cada campo, su tipo, y los valores centinela (0, -1) que llevan un significado especial. Para el porqué detrás de estos campos — el modelo de mínima agencia — empieza en Visión general de claves con alcance. Esta página es la tabla de consulta que mantienes abierta mientras escribes scripts de creación de claves.

​
1. La referencia del objeto token de un vistazo

Una clave recién creada para un agente de resumen programado se ve así: 
{
  "id": 4812,
  "name": "support-summarizer-prod",
  "status": 1,
  "key": "sk-orca-a1b2****yz90",
  "created_time": 1733616000,
  "accessed_time": 1733702400,
  "expired_time": -1,
  "unlimited_quota": false,
  "remain_quota": 500000,
  "used_quota": 12340,
  "model_limits_enabled": true,
  "model_limits": "openai/gpt-4o-mini",
  "credit_limit_usd": 25,
  "allow_ips": "203.0.113.7",
  "environment": "prod",
  "guardrail_id": 17,
  "firewall_policy_id": 9,
  "is_firewall_gateway": false,
  "group": "default"
}
El campo key está enmascarado en cada lectura — ves el prefijo de marca y los últimos cuatro caracteres, nunca el secreto completo. El texto plano se muestra una vez, en la creación. Ver Enmascarado de claves.

​
2. Campos de identidad y ciclo de vida

Estos describen cuál clave es esta y dónde está en su ciclo de vida.
El identificador numérico estable de la clave. Úsalo para direccionar la clave en llamadas de actualización y eliminación. Solo lectura.
Una etiqueta humana para la clave, mostrada en la consola y en los logs. Nombra las claves según el agente que las tiene — una clave, un agente.
Estado habilitado / deshabilitado. 1 significa activa; una clave deshabilitada se rechaza en auth sin ser eliminada, así que puedes pausar una clave y volver a habilitarla.
El secreto portador, devuelto enmascarado (sk-orca-…****…). El valor completo se muestra solo una vez, en la creación. Trátalo como una contraseña.
Marcas de tiempo Unix (segundos) para cuándo se acuñó la clave y cuándo sirvió una solicitud por última vez. accessed_time es tu señal para una clave obsoleta o sin usar que vale la pena revocar.
Expiración absoluta como una marca de tiempo Unix. El centinela -1 significa que la clave nunca expira. Establece una marca de tiempo real para hacer que una clave auto-expire — el valor por defecto correcto para ejecuciones de CI y agentes efímeros. Ver Claves expirantes.

​
3. Campos de gasto y cuota

Estos acotan cuánto puede consumir una clave antes de dejar de funcionar.
CampoTipoSignificado
credit_limit_usdnúmeroTope de gasto de por vida en USD. 0 = ilimitado.
unlimited_quotabooleanCuando es true, la clave no se mide contra un saldo de cuota.
remain_quotanúmeroCuota restante en la clave.
used_quotanúmeroCuota consumida hasta ahora.
Una clave con credit_limit_usd: 0 y unlimited_quota: true y expired_time: -1 no tiene techo de gasto y nunca expira — el peor radio de explosión si se filtra. Ver ilimitada vs acotada para cuándo una clave sin límites está justificada.

​
4. Campos de alcance y cobertura

Estos limitan qué puede alcanzar la clave — qué modelos, desde qué direcciones.
model_limits es la lista de modelos que la clave puede llamar; model_limits_enabled es el interruptor de encendido/apagado. Con el límite habilitado, una llamada a cualquier modelo fuera de la lista se rechaza antes de salir del gateway — el agente no puede cambiar a un modelo más caro o más capaz. Ver Límites de modelo.
Una lista de permitidos de IP / CIDR, una entrada por línea. Una solicitud que presenta la clave desde cualquier dirección no listada se rechaza en la capa de auth; un valor vacío significa que todas las direcciones están permitidas. Ver Lista de permitidos de IP.
Una etiqueta de despliegue de forma libre (prod, staging, dev, o lo que elijas) para organizar claves y filtrar logs. Puramente organizativa — no cambia la aplicación. Ver Entornos.
El grupo de enrutamiento a través del cual la clave resuelve los modelos. Déjalo en el valor por defecto del espacio de trabajo a menos que te hayan dado un grupo específico.

​
5. Campos de adjunto de política

Los dos campos más poderosos en una clave. Cada uno vincula la clave a una política con alcance de espacio de trabajo que gobierna su tráfico — cambia la política y cada clave adjunta a ella recoge el cambio en la siguiente solicitud, sin redespliegue.
CampoTipoVincula la clave a
guardrail_idnúmeroUn guardrail de contenido que examina el texto de solicitud y respuesta.
firewall_policy_idnúmeroUna política de firewall que gobierna las llamadas a herramienta que emite la clave.
is_firewall_gatewaybooleanMarca la clave como un token con alcance de gateway para las rutas del MCP del Firewall / evaluación (no para inferencia).
El centinela para ambos adjuntos es 0 (sin adjuntar). Pero los dos planos resuelven un adjunto deshabilitado de forma diferente:
  • Un guardrail_id deshabilitado es el interruptor de apagado — la clave no obtiene guardrail, sin fallback al valor por defecto del espacio de trabajo.
  • Un firewall_policy_id deshabilitado hace fallback al valor por defecto del espacio de trabajo de la política de firewall.
El orden de resolución completo vive en Vincular políticas y Alcance y claves.
is_firewall_gateway: true acuña una clave con alcance de gateway solo para las rutas /api/v1/firewall/* — nunca lo pongas en una clave de inferencia. Habilitar el flag, y leer el texto plano de una clave de gateway, ambos requieren Admin+.

​
6. Establecer estos campos

Cada campo de arriba se configura en el editor de claves de la consola (/console/token) — no a través de una clave de relay. Crear o editar una clave requiere el rol Developer o superior; el flag is_firewall_gateway requiere Admin+.
El objeto token es la superficie de configuración. El texto plano de la clave (sk-orca-…) es lo que tu agente presenta en las llamadas de relay /v1/*. Configura la clave en la consola; el agente solo ve el secreto.
Una clave de mínima agencia concreta — establecida en el editor, releída como el objeto de arriba — limita un modelo, un rango de IP de origen, un techo en USD semanal, una expiración, y un guardrail más una política de firewall. Si el agente que la tiene es secuestrado vía inyección de prompts, el radio de explosión se detiene exactamente en esos límites.

​
7. Referencias relacionadas

Visión general de claves con alcance

El modelo de mínima agencia y el centro para cada campo de clave.

Vincular políticas

Cómo guardrail_id y firewall_policy_id se resuelven a una política activa.

Cuota, tope y expiración

credit_limit_usd, expired_time y los campos de cuota en profundidad.

Checklist de mínima agencia

Pasa cada clave por la misma pasada de endurecimiento.
¿Nuevo en el modelo? Lee Alcance, claves, políticas y espacios de trabajo para saber cómo encaja el objeto token en la jerarquía espacio de trabajo → política → clave.