Seguridad desde el diseño

Tanto si desarrollas aplicaciones de buzón de voz, personajes interactivos o juegos basados en audio, la API de ElevenLabs te proporciona acceso directo a potentes capacidades de voz. Pero ese acceso conlleva la responsabilidad de proteger los datos de tus usuarios y gestionar cuidadosamente los recursos de voz.

Esta guía describe tres prácticas de seguridad fundamentales para desarrolladores:

• Aislar entornos mediante cuentas de servicio
• Limitar la duración de las claves de API de usuario
• Implementar permisos a nivel de recurso

Usa cuentas de servicio para aislar entornos

Las cuentas de servicio proporcionan acceso limitado y exclusivo mediante API a la plataforma de ElevenLabs. A diferencia de las cuentas de usuario, no están vinculadas a personas: están diseñadas para sistemas de backend y automatización.

Si una cuenta de servicio crea un recurso, de forma predeterminada solo los administradores pueden verlo, pero se puede compartir con otros usuarios. Del mismo modo, puedes compartir cualquier recurso con una cuenta de servicio igual que lo harías con un usuario. Cada cuenta de servicio se crea a nivel de espacio de trabajo y la gestionan los administradores del espacio de trabajo. Pueden crear recursos y acceder a ellos a través de la API.

Recomendamos aprovisionar una cuenta de servicio dedicada para cada entorno:

• production-service-account
• testing-service-account
• uat-service-account (si procede)

Esto garantiza una separación clara entre entornos, reduce las filtraciones accidentales de datos entre entornos y simplifica la supervisión.

Por qué es importante

Separación de responsabilidades
Evita mezclar datos de pruebas y de producción. El aislamiento de entornos facilita la auditabilidad y el cumplimiento normativo.

Principio de mínimo privilegio
Cada cuenta de servicio debe tener acceso únicamente a los recursos mínimos necesarios. Las claves de API pueden limitarse aún más al crearlas.

Mayor observabilidad
Haz seguimiento del uso y el rendimiento de la API por entorno. Las cuentas de servicio independientes facilitan la depuración de problemas y la supervisión de la actividad.

Limita la duración de las claves de API de usuario

Las claves de API de usuario están vinculadas a una persona y heredan un subconjunto de sus accesos. Esto las hace prácticas para el desarrollo personal y los scripts, pero no son una buena opción para credenciales que permanecen activas indefinidamente, especialmente si acaban en scripts compartidos, notebooks o pipelines de CI.

Puedes configurar las claves de API de usuario para que caduquen. Al crear una clave, establece una caducidad de entre 15 minutos y 30 días; tras ese plazo, la clave deja de autenticar. Puedes editar o ampliar la caducidad después de crearla si es necesario.

Aplica permisos a nivel de recurso en tu backend

Si tu aplicación permite a usuarios grabar mensajes con voces clonadas, es fundamental asegurarte de que solo accedan a las voces que poseen o para las que tienen permiso de uso.

Aunque la plataforma de ElevenLabs admite el uso compartido dentro de la aplicación, debes aplicar control de acceso a nivel de recurso en tus propios sistemas cuando uses la API.

Un modelo recomendado:

user_id | voice_id | permission_level

Valores posibles de permission_level:

• viewer: puede usar la voz para generar voz
• editor: puede actualizar la configuración de voz
• admin: puede gestionar el uso compartido y los permisos

Esta estructura te permite controlar quién puede acceder y modificar voces, y evita el uso no autorizado de recursos sensibles. Estos permisos son sugerencias basadas en los controles que se ofrecen de forma nativa si utilizas directamente la plataforma de ElevenLabs.

Desarrolla de forma segura. Escala con confianza.

La seguridad debe ser un pilar, no algo secundario. Al aprovechar las cuentas de servicio e implementar controles de permisos, reducirás los riesgos y generarás confianza, al tiempo que ofreces a tus usuarios todo el potencial de la voz IA.