Sin registro, sin claves, sin OAuth
A diferencia de la mayoría de las API, no necesitas:
- Crear una cuenta
- Generar una clave de API
- Enviar una cabecera
Authorization - Firmar solicitudes con HMAC
- Renovar tokens de OAuth
- Pagar un plan
Simplemente envías tu solicitud HTTP a https://cleverutils.com/api/v1/* y funciona.
¿Cómo se previene entonces el abuso?
Hacemos un seguimiento del uso por dirección IP. Cada IP obtiene una cuota diaria generosa y un pequeño tiempo de espera por solicitud para evitar inundaciones. Consulta los rate limits para ver todos los detalles.
Si una sola IP realiza demasiadas solicitudes, se limita temporalmente (HTTP 429). El abuso reiterado conduce a un bloqueo de 24 horas (HTTP 403).
¿Se almacena mi IP?
Sí — pero solo como un hash SHA-256 con sal, nunca en texto plano. La usamos para dos cosas:
- Rate limiting — el hash es la clave de nuestros archivos de contador por IP en
/tmp/cleverutils-api-ratelimit/. Estos archivos se eliminan automáticamente tras 25 horas. - Registro — los primeros 16 caracteres del hash se escriben en nuestros registros de solicitudes (en
/tmp/cleverutils-api-logs/) para depuración y detección de abusos. Los registros se rotan tras 30 días.
Nunca almacenamos IPs en texto plano. Nunca registramos los cuerpos de las solicitudes. Nunca compartimos datos con terceros.
Sesiones y cookies
Por razones históricas, la API puede establecer una cookie PHPSESSID en las respuestas. Puedes ignorarla. La API no depende de sesiones ni cookies para la autenticación o el rate limiting — es puramente basada en IP.
La mayoría de los clientes HTTP (cURL sin -c, Python requests sin Session, Go http.DefaultClient) no persisten las cookies de todos modos. Puedes ignorar la cabecera con seguridad.
¿Y qué hay de CORS?
La API responde con Access-Control-Allow-Origin: * en cada endpoint, por lo que puedes llamarla directamente desde una aplicación JavaScript en el navegador en cualquier dominio. Las solicitudes preflight (OPTIONS) se gestionan automáticamente.
Futuro: claves de API opcionales
Es posible que introduzcamos más adelante claves de API opcionales para usuarios que necesiten cuotas más altas o quieran analíticas por clave. Cuando eso ocurra:
- El nivel anónimo gratuito seguirá siendo gratuito y sin clave.
- Las claves se enviarán mediante la cabecera de solicitud
X-API-Key(noAuthorization: Bearer). - Esta página se actualizará con instrucciones completas.
Hasta entonces: solo haz solicitudes HTTP y estarás autenticado.