Claves de API de OpenAI en 2026: Expiración, Tipos de Clave e Identidad de Workload

Cronología (changelog de OpenAI)

Tiers de uso desde el 2026-10-06 (guía de rate limits)

La guía dice que el tier de tu organización sube automáticamente a medida que sus compras totales de crédito alcanzan cada umbral. Las alertas y los límites duros de gasto son controles aparte en la misma página: un límite duro hace que las requests afectadas devuelvan un 429.

Antes y después: un job de CI (GitHub Actions)

Ilustrativo: armado con los nombres de variables de la guía de GitHub Actions y los campos de la referencia del intercambio de tokens. No lo corrí contra un proyecto real, y el “antes” es el patrón común, no algo que muestren los docs. Los ejemplos de SDK de la guía hacen el intercambio por vos; el último bloque solo muestra qué pasa por debajo.

Antes: una clave de larga vida guardada como secret del repositorio

jobs:
  call-openai:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: node ./scripts/call-openai.js
        env:
          OPENAI_API_KEY: ${{ secrets.OPENAI_API_KEY }}

Después: el job demuestra quién es (sin secreto de OpenAI guardado)

permissions:
  id-token: write
  contents: read
jobs:
  call-openai:
    runs-on: ubuntu-latest
    environment: production
    steps:
      - uses: actions/checkout@v4
      - run: node ./scripts/call-openai.js
        env:
          OPENAI_WIF_AUDIENCE: ${{ vars.OPENAI_WIF_AUDIENCE }}
          OPENAI_IDENTITY_PROVIDER_ID: ${{ vars.OPENAI_IDENTITY_PROVIDER_ID }}
          OPENAI_SERVICE_ACCOUNT_ID: ${{ vars.OPENAI_SERVICE_ACCOUNT_ID }}

Cómo se ve el intercambio en el cable (requiere curl y jq)

AUD=$(jq -rn --arg audience "$OPENAI_WIF_AUDIENCE" '$audience | @uri')
JWT=$(curl -s -H "Authorization: bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
  "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=$AUD" | jq -r .value)

curl -s https://auth.openai.com/oauth/token \
  -H "Content-Type: application/json" \
  -d "{
    \"grant_type\": \"urn:ietf:params:oauth:grant-type:token-exchange\",
    \"subject_token_type\": \"urn:ietf:params:oauth:token-type:jwt\",
    \"subject_token\": \"$JWT\",
    \"identity_provider_id\": \"$OPENAI_IDENTITY_PROVIDER_ID\",
    \"service_account_id\": \"$OPENAI_SERVICE_ACCOUNT_ID\"
  }"
# response: access_token, expires_in, expires_at (no refresh token)

Del lado de OpenAI, la guía te hace crear un workload identity provider (issuer https://token.actions.githubusercontent.com, audience igual a lo que pide el workflow) y un mapeo de service account, con assertions como repository, ref, environment y workflow_ref.

Antes y después: un workload de servidor (X.509)

De nuevo ilustrativo, armado con las guías de X.509 y Mutual TLS. Los nombres de variables de entorno son los de las guías; el id del modelo es un placeholder porque los ejemplos de las guías cambian de una página a otra.

Antes: una clave estática en una variable de entorno

export OPENAI_API_KEY="<static key from your secret manager>"

curl https://api.openai.com/v1/responses \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "<model>", "input": "ping"}'

Después: certificado de cliente entra, token de corta vida sale

export OPENAI_MTLS_CERT_CHAIN="/path/to/client-chain.pem"
export OPENAI_MTLS_KEY="/path/to/client-key.pem"
export OPENAI_IDENTITY_PROVIDER_ID="<provider id>"
export OPENAI_SERVICE_ACCOUNT_ID="<service account id>"

# 1. certificate in, short-lived bearer token out (keep access_token as OPENAI_WIF_ACCESS_TOKEN)
curl https://mtls.auth.openai.com/oauth/token \
  --cert "$OPENAI_MTLS_CERT_CHAIN" --key "$OPENAI_MTLS_KEY" \
  -H "Content-Type: application/json" \
  -d "{
    \"grant_type\": \"urn:ietf:params:oauth:grant-type:token-exchange\",
    \"subject_token_type\": \"urn:openai:params:oauth:token-type:x509\",
    \"identity_provider_id\": \"$OPENAI_IDENTITY_PROVIDER_ID\",
    \"service_account_id\": \"$OPENAI_SERVICE_ACCOUNT_ID\"
  }"

# 2. bearer token AND client certificate on every API call
curl https://mtls.api.openai.com/v1/responses \
  --cert "$OPENAI_MTLS_CERT_CHAIN" --key "$OPENAI_MTLS_KEY" \
  -H "Authorization: Bearer $OPENAI_WIF_ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"model": "<model>", "input": "ping"}'