Añade un chatbot de IA a tu app HTML sin filtrar tu clave de API

Añadir un asistente de chat a una app es una de las ideas más populares ahora mismo. También es donde muchos desarrolladores novatos cometen un error caro: pegan su clave de API de IA directamente en el JavaScript.

Cualquiera puede abrir un APK y leer los archivos que contiene. Si tu clave está ahí, alguien la encontrará y tú pagarás por su uso. Así se hace bien.

La regla: la clave nunca va en la app

Tu app debe hablar con tu servidor. Tu servidor guarda la clave y habla con el proveedor de IA. La app nunca ve la clave.

Phone app  →  your small proxy  →  AI provider
              (holds the key)

Este proxy puede ser diminuto. Una función sin servidor en Cloudflare Workers, por ejemplo, ocupa unas pocas decenas de líneas y tiene un plan gratuito generoso.

Un proxy mínimo

// Cloudflare Worker. The key is stored as a secret, not in code.
export default {
  async fetch(req, env) {
    if (req.method !== 'POST') return new Response('Not allowed', { status: 405 });
    const { message } = await req.json();
    if (!message || message.length > 2000) return new Response('Bad request', { status: 400 });
    // Call your AI provider here with env.AI_KEY and return its answer.
  }
};

Guarda la clave con la función de secretos de la plataforma para que nunca aparezca en tu código ni en tu repositorio.

Limita lo que puede hacer el proxy

• Limita el tamaño de la entrada. Rechaza los mensajes enormes antes de que lleguen a la IA.
• Fija el modelo y los ajustes en el servidor. No dejes que la app elija un modelo caro.
• Límite de peticiones. Unas pocas peticiones por minuto por usuario bastan de sobra para una función de chat.
• Fija un límite de gasto con tu proveedor de IA, para que un error nunca se convierta en una factura enorme.

Llamarlo desde tu app

Desde tu app HTML, basta con un fetch normal a tu proxy. Muestra un indicador de escritura mientras esperas y gestiona los errores con amabilidad: los teléfonos pierden la señal y el servicio de IA puede estar ocupado.

Recuerda las reglas de la tienda

Una app que genera texto con IA está sujeta a la política de Google Play sobre contenido generado por IA. Necesitas una forma de que los usuarios denuncien resultados ofensivos, y tu política de privacidad y el formulario de Seguridad de los datos deben mencionar que los mensajes se envían a un servicio de terceros. Cubrimos ambas cosas en nuestra guía de la política y en privacidad para apps con IA.