---
title: "Clave de acceso y secreta de AWS: crear, rotar y compartir"
url: https://uselinkpilot.com/es/blog/aws-access-key-and-secret-key
description: "Qué son el ID de clave de acceso y la clave secreta de AWS, por qué la secreta se ve una vez, cómo rotarlas, qué hacer si se filtra y cómo compartirla."
lang: es
---

Seguridad (https://uselinkpilot.com/es/blog/category/security)

# Clave de acceso y clave secreta de AWS: cómo crearlas, usarlas, rotarlas y compartirlas de forma segura

Qué son el ID de clave de acceso y la clave secreta de AWS, por qué la secreta se ve una vez, cómo rotarlas, qué hacer si se filtra y cómo compartirla.

LinkPilot Team (https://uselinkpilot.com/es/author/linkpilot-team) · Las personas que desarrollan y gestionan LinkPilot en TetraCore, LLC 26 de octubre de 2026 · Sobre LinkPilot (https://uselinkpilot.com/es/about)

Una clave de acceso de AWS son dos cadenas que, juntas, permiten que un programa actúe como un usuario de IAM: el ID de clave de acceso, que identifica la clave, y la clave de acceso secreta, que demuestra que la tienes. La gente las busca con tres nombres (access key y secret key, secret access key o simplemente AWS secret key), y todos se refieren al mismo par. Ese par aparece en configuraciones de la CLI, en pipelines de CI y, con demasiada frecuencia, en un mensaje de Slack.

Esta guía explica qué son las dos mitades, cómo crearlas y configurarlas, cómo rotarlas sin interrumpir el servicio, qué hacer cuando una se filtra y la pregunta que surge cada vez que se incorpora un desarrollador o empieza un contratista: cómo entregar una clave secreta a una persona sin ponerla en un correo.

## ID de clave de acceso frente a clave de acceso secreta

| | ID de clave de acceso | Clave de acceso secreta |
| --- | --- | --- |
| Aspecto | `AKIAIOSFODNN7EXAMPLE` (20 caracteres) | 40 caracteres entre mayúsculas, minúsculas y símbolos |
| Función | Identifica qué clave firma la solicitud | Firma la solicitud y demuestra que la tienes |
| ¿Es secreto? | No, trátalo como un nombre de usuario | Sí, trátala como una contraseña |
| ¿Se puede ver después? | Sí, en la consola de IAM | Nunca después de crearla |

Las claves de larga duración empiezan por `AKIA`. Las credenciales temporales de STS, que además llevan un token de sesión, empiezan por `ASIA` y expiran solas. Si ves una clave `ASIA` en un archivo de configuración, dejará de funcionar en unas horas, y está pensado así.

Ninguna de las dos mitades concede permisos. La clave se autentica como un usuario de IAM, y las políticas asociadas a ese usuario deciden qué puede hacer esa identidad. Una clave filtrada de un usuario de solo lectura es un problema. Una clave filtrada de un administrador es un incidente.

## Cuándo necesitas de verdad una clave de larga duración

La respuesta sincera: menos a menudo de lo que se cree.

- **Las cargas de trabajo en AWS** (EC2, Lambda, ECS, EKS) deben usar roles de IAM. El SDK obtiene credenciales de corta duración automáticamente y no hay nada que rotar ni que se pueda filtrar.
- **Las personas** deben iniciar sesión con IAM Identity Center o con inicio de sesión único federado y obtener credenciales temporales con `aws sso login`.
- **Los sistemas de CI**, como GitHub Actions, pueden asumir un rol mediante OIDC sin guardar ninguna clave.
- **Las claves de larga duración** quedan para los casos que no pueden usar nada de lo anterior: una herramienta en un portátil que no admite SSO, un servicio de terceros que solo acepta claves estáticas o un proceso heredado que todavía no has migrado.

Si necesitas una, créala en un usuario de IAM dedicado con la política más restrictiva que permita hacer el trabajo, y nunca en la cuenta de administrador de una persona.

## Crear y configurar una clave

En la consola de IAM, abre el usuario, elige «Security credentials» y después «Create access key». Elige el caso de uso que pregunta AWS, lee la alternativa que propone y continúa. La clave secreta se muestra una sola vez. Guárdala directamente en tu almacén de secretos o en tu gestor de contraseñas, o descarga el CSV y elimínalo después de importarlo. Cada usuario de IAM puede tener como máximo dos claves a la vez, y eso es lo que hace posible la rotación.

En una máquina, configura un perfil con nombre en lugar del perfil por defecto:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

Esto escribe `~/.aws/credentials` y `~/.aws/config`. Restringe el archivo a tu usuario con `chmod 600`. En contenedores y en CI, inyecta `AWS_ACCESS_KEY_ID` y `AWS_SECRET_ACCESS_KEY` como secretos desde el almacén de la plataforma, no como variables normales en un archivo YAML, y nunca las pases en la línea de comandos, donde acaban en el historial de la shell.

## Rotar sin romper nada

La rotación se hace en cuatro pasos, y es posible gracias al límite de dos claves.

1. **Crea la segunda clave** en el mismo usuario.
2. **Actualiza todo lo que la usa** con la clave nueva: configuraciones, secretos de CI, la entrada del gestor de secretos. La consola de IAM muestra cuándo se usó cada clave por última vez, y así sabes si se te ha escapado alguno.
3. **Desactiva la clave antigua.** Espera un día o un ciclo de despliegue. Si algo falla, reactívala, corrige lo que la usaba y vuelve a intentarlo.
4. **Elimina la clave antigua** cuando compruebes que ya nada la usa.

Rota con regularidad las claves que tienen que existir, y todas ellas cuando ocurra algo: una baja, un cambio de proveedor, un portátil perdido, una sospecha de filtración. AWS Config e IAM Access Analyzer pueden señalar las claves más antiguas de lo que permite tu política.

## Cuando una clave queda expuesta

Considera comprometida cualquier clave que haya aparecido en un repositorio, un registro, un ticket o un chat, aunque se borrara un minuto después. Los escáneres encuentran los secretos publicados en segundos.

1. **Desactiva la clave** en IAM ya. No esperes a crear antes la sustituta, salvo que la interrupción sea peor que la exposición.
2. **Crea una clave sustituta** y actualiza todo lo que usaba la anterior.
3. **Revisa CloudTrail** en busca de cada acción hecha con ese ID de clave de acceso desde la exposición. Busca usuarios o claves de IAM nuevos, instancias nuevas, políticas de bucket modificadas y regiones que no te suenen.
4. **Revisa la factura** y Cost Explorer en busca de picos típicos de la minería de criptomonedas.
5. **Quita el secreto** del código, los registros y el historial de git. Cuando detecta una filtración pública, AWS puede asociar por su cuenta la política `AWSCompromisedKeyQuarantine` al usuario; déjala puesta hasta terminar la limpieza.
6. **Elimina la clave antigua** y después averigua cómo llegó hasta allí y cierra esa vía.

## Cómo compartir una clave secreta de AWS con una persona

A veces la clave tiene que llegar a una persona: un contratista que la necesita para una herramienta de despliegue, un desarrollador que se incorpora a un proyecto antes de que esté configurado el SSO o la integración de un proveedor que pide pegarla en su panel. El correo, Slack y los tickets guardan copias, y un secreto de 40 caracteres en cualquiera de ellos se puede leer durante años.

El procedimiento seguro lleva un minuto:

1. **Crea una clave para esa persona** en un usuario de IAM dedicado, con la política que necesita su tarea y nada más. No compartas una clave que use cualquier otra cosa.
2. **Pega solo la clave de acceso secreta** en un enlace secreto de un solo uso (https://uselinkpilot.com/es/tools/free-secret-link-generator). Se cifra en tu navegador antes de guardarse, la copia almacenada se destruye la primera vez que se abre el enlace y el enlace expira al cabo de una hora, un día o una semana si nadie lo abre.
3. **Envía el enlace** con una línea de contexto. Envía el ID de clave de acceso, la región y el nombre del perfil en otro mensaje; ninguno de esos datos es secreto por sí solo.
4. **Añade una frase de contraseña con una cuenta Pro** para cualquier clave que no sea de solo lectura, y comunícala por SMS o en una llamada.
5. **Confirma que lo ha abierto.** Si el enlace indica que ya se vio y la persona no lo abrió, desactiva la clave y empieza de nuevo.
6. **Desactiva la clave** cuando termine el encargo, y elimínala después.

La guía de claves de API (https://uselinkpilot.com/es/blog/how-to-share-api-keys-securely) aplica el mismo patrón a otros proveedores, y compartir enlaces de forma segura para desarrolladores (https://uselinkpilot.com/es/blog/secure-link-sharing-for-developers) explica cómo automatizar la entrega con scripts al incorporar a alguien.

## Lecturas relacionadas

- Cómo compartir claves de API de forma segura: https://uselinkpilot.com/es/blog/how-to-share-api-keys-securely
- Gestor de secretos en la nube: qué es y cómo elegir uno: https://uselinkpilot.com/es/blog/cloud-secret-manager
- Cómo enviar de forma segura un acceso temporal a una base de datos a un contratista: https://uselinkpilot.com/es/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- Cómo funcionan los enlaces secretos de un solo uso: https://uselinkpilot.com/es/blog/how-one-time-secret-links-work

## Herramientas para este artículo

Generador de enlaces secretos de un solo uso

Comparte una contraseña o una nota con un enlace que solo se abre una vez.
https://uselinkpilot.com/es/tools/free-secret-link-generator

Mensaje que se autodestruye

Envía una nota que desaparece después de leerse una vez.
https://uselinkpilot.com/es/tools/burn-after-read-secret

Generador de enlaces que expiran

Crea enlaces que dejan de funcionar en el momento que fijes.
https://uselinkpilot.com/es/tools/temporary-link

## Preguntas frecuentes

### ¿Puedo volver a ver mi clave de acceso secreta de AWS después de crearla?

### ¿El ID de clave de acceso es lo mismo que la clave de acceso secreta?

### ¿Dónde encuentro el ID de una clave de acceso existente?

### ¿Las claves de acceso conceden permisos por sí solas?

### ¿Debo desactivar una clave antes de eliminarla?

### ¿Qué hago si una clave de acceso de AWS queda expuesta?

## LinkPilot envía un enlace secreto que desaparece en cuanto se abre.

Cifrado en tu navegador, se muestra una vez y después se destruye. Sin cuenta.

Crear un enlace secreto (https://uselinkpilot.com/es/tools/free-secret-link-generator)

## Sigue leyendo

Seguridad

### Compartir credenciales SSH con un enlace que expira

Mejor la clave pública del destinatario. Si hay que enviar una clave privada o una contraseña, usa un enlace de un solo uso, y el host y el usuario aparte.
https://uselinkpilot.com/es/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Seguridad

### Compartir credenciales de forma segura sin correo

Cuatro formas de compartir una contraseña sin correo, cuándo usar cada una y cómo crear un enlace temporal que se destruye al abrirse una vez.
https://uselinkpilot.com/es/blog/how-to-share-credentials-securely-without-email

Seguridad

### Enviar un secreto de webhook a un cliente de forma segura

Entrega el secreto de firma de webhook sin copias en correo ni tickets: verifica al destinatario, usa un enlace de un solo uso, guárdalo bien y rótalo si se filtra.
https://uselinkpilot.com/es/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Inicio",
        "item": "https://uselinkpilot.com/es"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/es/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Clave de acceso y clave secreta de AWS: crear, usar, rotar y compartir",
        "item": "https://uselinkpilot.com/es/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/es/blog/aws-access-key-and-secret-key#article",
    "headline": "Clave de acceso y clave secreta de AWS: crear, usar, rotar y compartir",
    "description": "Qué son el ID de clave de acceso y la clave secreta de AWS, por qué la secreta se ve una vez, cómo rotarlas, qué hacer si se filtra y cómo compartirla.",
    "inLanguage": "es",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/es/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/es/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "¿Puedo volver a ver mi clave de acceso secreta de AWS después de crearla?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. AWS muestra la clave de acceso secreta una vez, al crearla, y nunca más. Si no la guardaste, desactiva esa clave y crea otra. El ID de clave de acceso sigue visible en la consola de IAM."
        }
      },
      {
        "@type": "Question",
        "name": "¿El ID de clave de acceso es lo mismo que la clave de acceso secreta?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. El ID de clave de acceso es un identificador público, como un nombre de usuario, y en las claves de larga duración empieza por AKIA. La clave de acceso secreta es la mitad que hace de contraseña y debe seguir siendo confidencial. Las solicitudes se firman con las dos."
        }
      },
      {
        "@type": "Question",
        "name": "¿Dónde encuentro el ID de una clave de acceso existente?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "En la consola de IAM, dentro del usuario, en la pestaña «Security credentials». La clave secreta de una clave existente no se puede recuperar; solo se ven el ID, su estado y cuándo se usó por última vez."
        }
      },
      {
        "@type": "Question",
        "name": "¿Las claves de acceso conceden permisos por sí solas?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "No. Una clave se autentica como el usuario de IAM al que pertenece. Puede hacer lo que permitan las políticas de IAM asociadas a ese usuario. Una clave sin políticas no puede hacer nada; una clave de un administrador puede hacerlo todo."
        }
      },
      {
        "@type": "Question",
        "name": "¿Debo desactivar una clave antes de eliminarla?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Sí. Desactívala primero, espera lo suficiente para comprobar que nada ha dejado de funcionar y después elimínala. Una clave desactivada se puede volver a activar; una eliminada, no."
        }
      },
      {
        "@type": "Question",
        "name": "¿Qué hago si una clave de acceso de AWS queda expuesta?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Desactívala de inmediato en IAM, crea una sustituta y actualiza todo lo que la usaba, revisa en CloudTrail las acciones hechas con la clave expuesta, busca recursos nuevos o cambios en IAM y quita la clave del código, los registros y el historial de commits. Después averigua cómo se filtró."
        }
      }
    ],
    "inLanguage": "es"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```