Brevo añade permisos a las claves API: qué cambia y qué revisar

Brevo acaba de publicar tres artículos nuevos en su centro de ayuda y los tres van de lo mismo: las claves API. Uno sobre cómo crearlas y gestionarlas, uno sobre los permisos de cada clave, y uno de resolución de problemas para cuando algo deja de funcionar.

Suena a cosa de informáticos. No lo es. Si tienes Brevo conectado a tu web, a un formulario, a una automatización o a cualquier cosa que meta contactos sola, esto te toca.

Y aviso de dónde sale: esto lo cuentan ellos en su centro de ayuda, no en un anuncio con fanfarria. Lo cuento con lo que dice su documentación y nada más.

¿Qué ha cambiado exactamente?

La frase clave está en su propio artículo sobre permisos: "los permisos de clave API te permiten controlar exactamente qué puede hacer cada clave API en tu cuenta de Brevo".

Y añaden el motivo, que es el que de verdad importa: dar a una integración solo el acceso que necesita significa que una clave comprometida o compartida no se puede usar para nada más.

Ahí está todo. Antes, según su propia redacción, los permisos no estaban disponibles. Ahora sí. O sea, hasta ahora una clave era una clave y punto, y a partir de ahora una clave es una clave con una lista de cosas que se le dejan hacer.

Lo que no detallan en lo que he podido leer es la lista completa de permisos que puedes marcar. Así que no te voy a inventar una tabla de permisos que no he visto.

¿Y qué pasa con las claves que ya tenías?

Esta es la pregunta que te estás haciendo si llevas dos años con Brevo enchufado a tu web y no quieres tocar nada.

Su artículo abre justo esa línea: dice que las claves creadas antes de que los permisos existieran "mantienen" algo. Y ahí se corta el texto que yo he podido leer de la documentación.

Así que lo honesto es decirlo tal cual. Hay un trato especial para las claves antiguas, Brevo lo documenta, y el detalle concreto te lo tienes que leer en su centro de ayuda antes de tocar nada. No es lo mismo "mantienen el acceso que tenían" que "mantienen el acceso durante un tiempo". Y yo no sé cuál de las dos es.

Regla general para estas cosas: si algo lleva meses funcionando y la documentación cambia debajo, no te pongas creativo justo antes de un envío grande. Lee primero.

El error que vas a ver si la cosa se rompe

Esto es la parte práctica, y es la que más vale del lote.

En el artículo de resolución de problemas cuentan los síntomas típicos: llamadas a la API que fallan, desactivaciones inesperadas de claves, y correos de seguridad que te llegan sin que sepas por qué.

Y el error concreto que nombran es este: "Access denied for resource". Una llamada a la API falla y la respuesta dice que la clave no incluye el permiso necesario.

Grábatelo a fuego, porque es el mensaje que te va a decir de qué va el problema. Si lo ves, no es que la clave esté mal copiada ni que la herramienta se haya vuelto tonta. Es que esa clave no tiene permiso para hacer eso que estás intentando hacer.

Antes, un error así te mandaba a mirar si habías pegado mal la clave. Ahora hay una segunda cosa que mirar, y es nueva.

¿A quién le afecta esto de verdad?

Te lo aterrizo por casos, porque "integraciones" es una palabra que no dice nada.

Si tienes un formulario en tu web que mete suscriptores en Brevo, ahí hay una clave API. Si tienes una automatización en Make, en n8n o en Zapier que añade contactos o manda correos, ahí hay otra. Si usas un plugin de WordPress que conecta con Brevo, otra. Si te has montado un script para exportar datos, otra más.

Su artículo de claves lo dice casi con esas palabras: las claves API conectan tu web, tu aplicación u otra herramienta a tu cuenta de Brevo para automatizar tareas como añadir contactos, enviar campañas o exportar datos.

O sea, cuanta más fontanería tengas montada, más claves hay por ahí sueltas y menos te acuerdas de dónde está cada una. Yo soy el primero. Si ahora mismo me preguntas cuántas claves API tengo vivas en mis cuentas, te tengo que decir que no lo sé. Y eso es exactamente el problema que estos permisos vienen a resolver.

Y hay un detalle de equipo que también mencionan: no cualquiera puede andar creando claves. El artículo empieza a explicarlo con "solo el propietario de la cuenta o un usuario...", y de nuevo ahí se corta lo que yo tengo delante. Si trabajas con alguien más en la misma cuenta, ese límite existe.

¿Esto es bueno o es un marrón?

Es bueno. Molesto el primer día, bueno el resto.

Piénsalo como las llaves de tu casa. Durante años has tenido una sola llave que abre la puerta, el buzón, el trastero y el garaje, y le has hecho copias a la del gas, a la vecina y al de la caldera. Funciona. Hasta que una copia se pierde.

Lo que te está dando Brevo es poder hacer una llave que solo abre el buzón. Si se pierde, se pierde el buzón.

Y esto no es paranoia de gente de seguridad. Si tienes una integración con un servicio de terceros que lleva años sin actualizarse, esa clave está en un servidor que no controlas. Reducir lo que puede hacer es gratis y te quita un problema futuro.

Qué haría yo esta semana

Sin montar un proyecto de tres meses. Tres cosas.

Entrar en la cuenta y mirar cuántas claves API hay vivas. Solo mirar. Te vas a llevar una sorpresa.

Borrar las que no sepas para qué son. Si algo se rompe, ya sabes qué era, y ahora además sabes qué error te va a salir.

Y las que queden, dejarlas con el permiso mínimo que necesiten. La de tu formulario de la web no necesita poder exportar tu lista entera.

Si todavía no tienes nada de esto montado y vienes de cero, el orden sensato es al revés: primero monta las secuencias y entiende la herramienta. Para eso te sirve más aprender a automatizar tus emails con Brevo paso a paso que ponerte a repartir permisos de claves que aún no has creado.

Y si estás decidiendo si Brevo te vale, lo bueno es que esto no es una función de plan caro. Brevo tiene un plan gratis de verdad, con sus límites, pero gratis. Las claves API y su gestión las puedes ver desde tu cuenta en la web oficial de Brevo (enlace de afiliado: así me ayudas a seguir creando contenido).

Dicho esto, el movimiento me cuadra con lo que llevo viendo todo el año. Las herramientas están asumiendo que ya nadie las usa sola: las usas conectadas a otras cinco. Y cuando asumes eso, lo siguiente que tienes que dar es control fino sobre quién toca qué. Lo mismo que pasa cuando conectas la IA a un workflow de n8n y de repente un modelo tiene acceso a tus datos.

No es magia. Es cerrar puertas que estaban abiertas porque nadie se había parado a mirarlas.

Por cierto, si leyendo esto te has dado cuenta de que tienes cosas conectadas y no sabes muy bien cómo, igual el problema no son los permisos. Hazte el test de nivel de IA y mira por dónde te toca empezar.