"Llama API Key" es un término con mucha búsqueda, pero no corresponde a un producto único. El 6 de julio de 2026, la vista previa pública de Llama API de Meta dejó de funcionar; hoy, para seguir usando Llama, normalmente hay que pasar por un proveedor de nube, una plataforma de inferencia, un despliegue propio o un gateway compatible con OpenAI. Cada ruta entrega credenciales distintas: algunas son Bearer Token, otras son credenciales temporales firmadas de una cuenta de nube y otras no requieren Key en absoluto.

Este artículo explica, ruta por ruta, de dónde sale la Key, cómo limitar permisos, dónde guardar las variables de entorno, cómo diagnosticar un 401 y cómo rotar una clave filtrada. Los modelos y las condiciones de facturación se rigen por la página de precios de modelos.

Nota: Meta y Llama son marcas de Meta Platforms, Inc.; los demás nombres de plataformas y modelos son marcas de sus respectivos titulares. Este artículo es solo una explicación técnica y no implica afiliación, representación ni respaldo de Meta ni de las plataformas mencionadas.

1. Primero, distingue cuatro tipos de "Llama API Key"

Ruta Forma de la credencial Dónde se crea Para quién
Nube gestionada Rol IAM, credencial temporal o clave de recurso Consola de AWS IAM, Microsoft Foundry, Google Cloud Equipos con contrato de nube que necesitan auditoría y cumplimiento regional
Plataforma de inferencia Bearer API Key Consola de Groq, OpenRouter y similares Quien quiere integrar rápido sin operar GPU
Inferencia propia Autenticación propia o red interna sin autenticación vLLM, Ollama, llama.cpp Quien exige límites de datos y tiene GPU
Gateway compatible API Key del gateway Consola del gateway Quien busca un punto único para varios modelos y pago en moneda local

La misma expresión no designa lo mismo en todas las plataformas. Las credenciales IAM de un proveedor de nube no se pueden pegar en el parámetro api_key del SDK de OpenAI; la Key de una plataforma de inferencia normalmente tampoco sirve para llamar a los modelos de otra. Primero confirma el tipo de credencial y después habla de "obtenerla".

2. La ruta de Meta: su Llama API Key ya es historia

Meta lanzó en 2025 una vista previa pública de Llama API, con un acceso gestionado en api.llama.com y una ruta compatible con OpenAI. Esa vista previa cerró el 6 de julio de 2026; las solicitudes antiguas reciben un aviso de fin de servicio o una indicación de redirección, y las claves anteriores generalmente ya no funcionan. Si ves un tutorial que dice "crea tu Llama API Key en la consola de Meta", revisa primero su fecha de publicación.

Hay que separar dos cosas: los pesos del modelo y la API gestionada. Los pesos abiertos de Llama siguen disponibles bajo la licencia de la comunidad de Llama y se pueden obtener en la página de modelos de Meta y en Hugging Face; lo que cerró fue la capa de alojamiento propia de Meta. La Meta Model API que Meta promueve hoy ofrece modelos de la familia Muse, no Llama, y no conviene mezclar ambas líneas.

Por eso, hoy la llamada "clave de Meta" solo puede significar dos cosas: descargar los pesos por los canales de Meta y autohospedar con autenticación propia, o llamar a través de un proveedor de nube o de un proveedor gestionado. Cualquier página de terceros que afirme poder habilitar una "Llama API Key de Meta" debe verificarse antes de pagar.

3. Proveedores de nube: entregan credenciales IAM, no una Key para pegar

AWS Bedrock. Primero solicita acceso al modelo en la consola y luego configura para el llamador los permisos mínimos bedrock:InvokeModel y bedrock:InvokeModelWithResponseStream, entre otros. La llamada usa firma SigV4, que normalmente resuelve el SDK o una credencial temporal; no hace falta escribir una clave de larga duración en el código. Con Llama 4 Scout, por ejemplo, Bedrock solo admite Invoke o Converse API y no ofrece una entrada Chat Completions; el ID del modelo tiene la forma meta.llama4-scout-17b-instruct-v1:0, la inferencia entre regiones requiere un prefijo como us., y la disponibilidad varía según la región y el ciclo de vida.

Microsoft Foundry (antes Azure AI Foundry). Después de desplegar un modelo Llama desde el catálogo, usa el endpoint del recurso con una Key o cambia a identidad de Entra ID. La Key está ligada al recurso; si cambias de suscripción o de región, debes confirmarlo de nuevo.

Google Cloud Vertex AI. Se llama mediante una cuenta de servicio o credenciales predeterminadas de la aplicación, se otorgan a la cuenta los roles de Vertex AI y se confirman el proyecto, la región y la versión del modelo. Ojo con el ciclo de vida: Google anunció que llama-3.3-70b-instruct-maas se retira el 21 de octubre de 2026, y los equipos que aún lo usan deben migrar o pasar a autohospedaje.

El denominador común de la nube es el permiso granular y una cadena de auditoría completa, pero la habilitación es lenta y la factura tiene muchas partidas. La Key no debe entregarse a una persona: conviene vincularla a la identidad de la carga de trabajo y restringir la red de origen y las zonas disponibles.

4. Plataformas de inferencia y gateways: el Bearer Key más común

Las plataformas de inferencia como Groq, OpenRouter y Fireworks, y los gateways compatibles con OpenAI, suelen ofrecer una consola donde se crea un Bearer Token en la página API Keys. Los pasos son parecidos:

  1. Regístrate y completa, según lo exija la plataforma, la verificación de correo, teléfono o empresa.
  2. Entra en API Keys, crea una clave y nombra con claridad el proyecto, el entorno y el usuario, por ejemplo prod-rag-cn.
  3. Aplica el permiso mínimo: solo inferencia, sin facturación, gestión de miembros ni gestión de claves.
  4. Configura un presupuesto, un límite de velocidad o un tope mensual para que una sola clave no agote la cuenta.
  5. Cópiala de inmediato a un gestor de contraseñas o a un servicio de gestión de secretos; la mayoría de las plataformas solo la muestra al crearla.
  6. Valida la clave, la Base URL y el nombre del modelo con una solicitud mínima antes de escribir la configuración de producción.

La diferencia de un gateway es que una sola clave puede corresponder a varios modelos upstream. En el caso de ZSQH AI Gateway, la Base URL es https://ai.zhongshangqihang.com/v1; los modelos disponibles se rigen por la consola y la página de precios de modelos. La ventaja es la facturación y el registro unificados; el costo es una capa adicional de reenvío, así que al elegir conviene confirmar la ruta de los datos, el tratamiento de fallos y las condiciones de facturación.

5. Permisos: una Key no es mejor por ser omnipotente

Trata la Key como una identidad, no como una contraseña. Usa una para producción, otra para pruebas y otra para experimentos personales; no dejes claves de larga duración en el frontend, en apps móviles ni en repositorios públicos; si el navegador necesita conectarse directo, usa tokens de corta duración o un proxy de backend. Activa las restricciones que ofrezca la plataforma: lista blanca de IP, dominios de origen, alcance de modelos o tope de presupuesto.

El antipatrón más común en los equipos es "una sola Key para todos". Cuando hay un problema no se sabe quién hizo la llamada, y ante una filtración no se puede revocar solo a una persona. Separar las claves por proyecto, junto con etiquetas de uso y alertas, reduce mucho el costo de diagnóstico.

6. Variables de entorno y código: que la Key no entre en Git

# Guarda .env solo en tu equipo o en un gestor de secretos; no lo subas a Git
export LLAMA_API_KEY="tu_clave"
export LLAMA_BASE_URL="https://api.groq.com/openai/v1"
export LLAMA_MODEL="llama-3.3-70b-versatile"

Los SDK de Python, Node y otros suelen leer OPENAI_API_KEY cuando no se pasa un parámetro explícito. Si el mismo proceso llama también a otros proveedores, conviene pasar api_key de forma explícita para no enviar la clave de la plataforma A a la plataforma B. En contenedores y servicios systemd, confirma que las variables realmente se inyectan y no solo existen en la shell actual.

Para diagnosticar un 401, revisa en este orden:

  • Si la cabecera es Authorization: Bearer <key>, con un espacio después de Bearer.
  • Si la clave pertenece a la plataforma del Base URL actual; las claves no son interoperables entre plataformas.
  • Si la clave fue revocada, caducó o nunca se habilitó después de crearla.
  • Si la variable de entorno arrastra comillas, saltos de línea o espacios mezclados al copiar.
  • Si el proceso del servicio lee una variable antigua y no se reinició después del cambio.
  • Un 401 indica que la identidad no pasó; un 403 suele indicar que pasó pero no tiene permisos. No los confundas.

7. Rotación y revocación: diseña primero la salida

  1. Crea una clave nueva en la plataforma con la fecha en el nombre, por ejemplo prod-2026-10.
  2. Reemplázala primero en un servicio de prueba o en una instancia canaria y observa 401, 403 y latencia.
  3. Confirma que no hay fallos de autenticación en los registros y luego sustituye el resto de los entornos de forma gradual.
  4. Mantén ambas claves solapadas un tiempo, pero no más de un ciclo de despliegue.
  5. Revoca la clave antigua cuando confirmes que no recibe llamadas y revisa si el uso reciente es anómalo.
  6. Actualiza el inventario de secretos: fecha de creación, responsable, propósito y próxima fecha de rotación.

Los eventos que obligan a rotar incluyen la salida de personal, la aparición de la clave en registros o repositorios, un incidente de seguridad del proveedor y la rotación periódica programada. Si sospechas una filtración, revoca primero y luego investiga; no empieces cambiando el código. Revisa también la factura y los registros de llamadas para confirmar que no haya solicitudes a modelos o regiones anómalas.

Preguntas frecuentes

¿Todavía se puede solicitar una Llama API Key de Meta?

No. La vista previa pública de Llama API de Meta cerró el 6 de julio de 2026 y el acceso anterior ya no presta servicio de inferencia. Los pesos de Llama se siguen pudiendo descargar; para llamadas gestionadas hay que usar un proveedor de nube, una plataforma de inferencia o un gateway compatible.

¿Por qué un proveedor de nube no ofrece una API Key que se pueda pegar?

Porque suele autenticar con roles IAM, cuentas de servicio o credenciales temporales, y los permisos y la auditoría quedan ligados a la cuenta de nube. Es más granular que un Bearer Token de larga duración, pero la integración exige configurar permisos y firma, y no se puede usar directamente el parámetro api_key del SDK de OpenAI.

¿Una sola Key sirve para todos los modelos Llama?

Depende de la plataforma. Las plataformas de inferencia y los gateways suelen permitir que una clave llame a varios modelos habilitados en la cuenta; en la nube influyen los permisos IAM, la solicitud de acceso al modelo y las restricciones regionales. La disponibilidad se confirma con la lista actual de la consola.

¿Qué pasa si pongo la Key en el frontend o en una app?

Equivale a publicarla. Con solo inspeccionar el tráfico se puede obtener y consumir tu cuota. El navegador y las apps móviles deben llamar a tu propio backend, que guarda la clave y aplica autenticación, límites y registro.

¿Qué reviso primero ante un 401 y un 403?

En un 401, revisa la clave, el formato de la cabecera y si el Base URL coincide. En un 403, revisa si la clave o el rol tiene permiso sobre el modelo, el proyecto o la región de destino. Si ambos están bien, consulta la página de estado del gateway o del proveedor de nube.

Siguientes pasos

Primero define la ruta de integración y luego crea una clave dedicada: IAM en la nube, Bearer Token en plataformas y gateways, autenticación propia si autohospedas. Si necesitas claves, registros y un punto único para varios modelos, puedes empezar por registrarte en ZSQH AI Gateway; los modelos disponibles y las condiciones de facturación se rigen por precios de modelos.

Lecturas relacionadas: