Cada vez más plugins (y el propio WordPress) se conectan con servicios de inteligencia artificial: para escribir textos, generar el texto alternativo de imágenes, responder en un chat o traducir. Casi todos te piden lo mismo: pegar una clave de API de OpenAI, Anthropic, Google u otro proveedor.
Esa clave funciona como una tarjeta de crédito: quien la tenga puede usar el servicio y la cuenta la pagas tú.
Dónde queda guardada
Cuando pegas la clave en los ajustes de un plugin, casi siempre termina en la tabla wp_options de la base de datos, en texto plano. Eso significa que puede verla:
- Cualquiera con acceso a la base de datos (phpMyAdmin, un respaldo, un desarrollador externo).
- Cualquier plugin instalado en el sitio, porque todos pueden leer las opciones.
- Quien obtenga un respaldo de tu sitio, si lo guardas en un lugar poco seguro.
No es un defecto de un plugin en particular: WordPress no tiene todavía un almacén cifrado de secretos. Por eso conviene pensar bien dónde y cómo guardas estas claves.
Los riesgos reales
- Gasto inesperado. Una clave filtrada puede usarse para generar millones de palabras o imágenes en pocas horas.
- Uso indebido a tu nombre. El proveedor ve tu cuenta detrás de lo que se genere.
- Exposición en el navegador. Algunos plugins mal hechos envían la clave al JavaScript de la página para llamar a la API directamente. Cualquier visitante podría verla en el código fuente.
Cómo protegerlas
1. Pon límites de gasto en el proveedor
Es lo más importante y lo primero. Todos los proveedores de IA permiten fijar un tope mensual y alertas de uso. Con un tope de USD 20, una filtración te cuesta USD 20, no miles.
2. Una clave por sitio y por uso
No uses la misma clave para todo. Crea una clave distinta para cada sitio (y si puedes, un «proyecto» separado en la cuenta del proveedor). Si una se filtra, la revocas sin afectar a los demás, y en el panel del proveedor ves exactamente qué sitio gastó qué.
3. Guárdala en wp-config.php, no en la base de datos
Muchos plugins serios aceptan la clave como una constante en wp-config.php, que no queda en la base de datos ni en los respaldos de esta. Revisa la documentación de tu plugin; suele verse así:
define( 'NOMBRE_DEL_PLUGIN_API_KEY', 'sk-...' );Si haces tu propio código, lee la clave siempre desde una constante:
$clave = defined( 'CWP_IA_API_KEY' ) ? CWP_IA_API_KEY : '';
if ( '' === $clave ) {
return new WP_Error( 'cwp_sin_clave', 'Falta configurar la clave de IA.' );
}4. Que la clave nunca llegue al navegador
Las llamadas a la IA deben hacerse desde el servidor (PHP), nunca desde JavaScript en la página. Para comprobar que un plugin no la expone, abre tu sitio, mira el código fuente (Ctrl+U) y busca los primeros caracteres de tu clave. No deberían aparecer.
5. Revisa quién tiene acceso
- Los respaldos con la base de datos deben guardarse cifrados o en un lugar privado.
- Si un desarrollador externo trabajó en el sitio, cambia (rota) la clave cuando termine.
- Si cambias de plugin de IA, borra la clave del plugin anterior antes de desinstalarlo.
Si sospechas una filtración
- Entra al panel del proveedor y revoca la clave de inmediato.
- Crea una nueva y ponla en
wp-config.php. - Revisa el historial de uso para ver desde cuándo hay consumo raro.
- Si hay cobros que no son tuyos, escribe al soporte del proveedor con las fechas: algunos los revisan.
¿Qué plugins de IA usas en tu WordPress? Compártelo en el foro y revisamos en comunidad si permiten guardar la clave fuera de la base de datos.
