Índice del artículo
Qué es
Una variable de entorno es un lugar donde guardas una configuración fuera del código: un dato que tu programa necesita para funcionar —una dirección, un nombre, una clave— y que vive aparte, para no quedar escrito en los archivos que se comparten.
Cuando el dato es delicado —una clave de API, una contraseña— se llama secreto, y tiene una regla propia: no va en el código ni en un chat, sino en un gestor de secretos con acceso limitado; comprueba quién puede leerlo.
Explicado fácil
Piensa en los planos de una casa y en el llavero. Los planos los puedes copiar, mandar y compartir sin problema: son la estructura, no hay nada delicado. El llavero es otra cosa: no va dibujado en los planos ni pegado en el correo.
El código es el plano; las claves son las llaves. Las llaves viven en el llavero —el gestor de secretos—, y el plano solo dice «la llave está en el llavero».
Ejemplo práctico
Una clínica dental monta su sistema de recordatorios por WhatsApp. El sistema necesita varios datos: el número desde el que envía, la hora de envío y la clave de API.
Lo que es configuración —el número, la hora, la plantilla del mensaje— puede ir en un archivo de configuración. La clave de API no: va en el gestor de secretos del servidor, con los permisos necesarios, y el archivo solo dice que vive ahí, no su valor.
Así no
Pegar la clave de API dentro del código o en el chat para que «todo quede junto».
Así sí
Guardar la clave en el gestor de secretos y dejar en el código solo la referencia a dónde vive.
Lo que se comparte no puede contener lo que no se puede compartir.
Por qué te importa
Porque es la frontera entre lo que se puede ver y lo que no. El código se copia, se comparte y se sube; la clave, si queda adentro, viaja con él. Guardar la clave aparte ayuda, pero también hay que comprobar que no salga en archivos compartidos, registros, respuestas ni código enviado al navegador.
Y porque, cuando lo monta un agente, esta es la pregunta que te dice si va bien: «¿dónde está la clave?». Si la respuesta es «en el gestor de secretos», es un buen punto de partida, no una garantía.
El error típico
Confundir configuración con secreto y guardarlos juntos. Que sea configuración no decide si puede compartirse: revisa qué es privado. El segundo error es el contrario: meter todo en un cajón blindado y no saber qué hay. Separa las dos cosas y deja claro quién guarda el secreto.
No lo confundas con
La clave de API. La clave es el secreto concreto; la variable de entorno es el lugar donde ese secreto —y otras configuraciones— viven. Se explica en Qué es una clave de API.
La configuración normal. El número de envío o la hora son configuración, pero eso no decide si pueden compartirse. El programa puede usar el secreto; comprueba que no lo exponga.