Define la separación antes de construir la pantalla
En la app hipotética, la persona escribe offline maps y pulsa Buscar. El dispositivo debe enviar esa intención al backend de tu aplicación, no recibir la credencial que paga la recuperación del archivo. Un paquete de navegador puede inspeccionarse; una app móvil distribuida también puede revelar cadenas incorporadas o cabeceras salientes. Un valor expuesto durante la compilación no se vuelve privado por llamarlo variable de entorno.
Conservar la clave en el backend cambia lo que necesita saber un cliente distribuido. Necesita el contrato de solicitud de tu app, por ejemplo una expresión de búsqueda y una comunidad permitida. Tu servidor incorpora la cabecera de autenticación del archivo. Esta arquitectura sigue necesitando controles de acceso y una operación cuidadosa; mover un secreto no vuelve segura automáticamente toda la aplicación.
Acepta una solicitud pequeña de la app
En una primera versión, tu backend podría aceptar una expresión y un número de página y fijar por su cuenta subreddit=hiking y limit=3. Valida longitudes y rangos y permite solo las opciones que tu app admita realmente. No aceptes un host de archivo elegido por el cliente, DSL de consulta arbitrario ni una cabecera de autenticación cualquiera para reenviar. Es una separación propuesta para tu app, no un endpoint adicional implementado por Reddit App API.
Usa X-API-Key o Authorization: Bearer cuando el backend llame al archivo. Los parámetros inválidos rechazados antes de reservar una recuperación no cuestan créditos; las respuestas vacías correctas sí. Validar ayuda a corregir errores y hace predecible la integración. No demuestra que el archivo cubra una fecha solicitada ni que una búsqueda válida devuelva registros útiles.
Separa el acceso a la cuenta
La cookie de sesión Secure HttpOnly del sitio permite al operador gestionar la cuenta y las facturas. La clave API autentica la recuperación desde tu backend. El inicio de sesión en tu app de senderismo, si lo implementas, es otra relación. No envíes una cookie de cuenta del servicio a los usuarios ni interpretes un 401 de la clave como prueba de que su sesión de la app haya caducado.
La clave API y el saldo son específicos de cada dominio; no se comparten por toda la red de sitios. Guarda la credencial de redditapp.com con una etiqueta explícita del dominio. Una clave de otra marca no se vuelve válida por cambiar la URL de destino. La elegibilidad de prueba compartida en la red no convierte los saldos de cuentas independientes en un fondo común.
Incluye los registros en la separación del secreto
Al mover la clave API a tu backend, también debes prestar atención a cómo la registras. Revisa las trazas de solicitudes, informes de excepciones e integraciones de observabilidad para detectar copias de cabeceras de autenticación. Conserva diagnósticos útiles de la operación y su estado sin registrar la clave original, la contraseña ni secretos completos de solicitudes.
Devuelve un mensaje sobre el que el lector pueda actuar. Un error de clave requiere atención del operador; un saldo bajo, una decisión de cuenta; y un límite de solicitudes, moderación. Reintentar repetidamente un 401 o 402 no corrige la causa. Si se perdió una respuesta, registra la incertidumbre en lugar de suponer un fallo gratuito o un éxito confirmado.
Sustituye la clave sin perder de vista los despliegues
El registro muestra la clave completa una vez, antes del pago. Las visitas posteriores muestran el prefijo, no una copia recuperable. El operador con sesión iniciada puede confirmar la contraseña y regenerarla; la clave anterior deja de ser válida inmediatamente. Prepara la lista de entornos backend que necesitan el cambio y actualízalos deliberadamente. Cambiar un almacén de secretos no garantiza que se actualicen todos los procesos activos.
Conserva la contraseña de forma segura: el servicio actual no tiene restablecimiento de contraseña ni acceso con Google. Después de sustituirla, usa una solicitud deliberada para comprobar el despliegue modificado, recordando que una recuperación correcta se cobra. Mantén claros los mensajes de carga y error durante el cambio. Regresa a /es/#field-notes para las notas relacionadas sobre estados y presupuesto.
