Qué es una variable de entorno (y un secreto)

Ejemplo ilustrativo: una instaladora de Valladolid encarga una aplicación para preparar borradores de aviso sobre solicitudes recibidas. El programa necesita la dirección del servicio al que se conecta y una clave privada. Esa clave permite identificarse ante una API, una vía para que dos programas se comuniquen. La dirección y la clave ayudan a configurar la aplicación, pero requieren un trato distinto: conocer la dirección no equivale a disponer del acceso.

La persona que implanta la aplicación separa esos valores de las instrucciones del programa. Así, configuración y código pueden mantenerse por separado. La dirección se proporciona como un ajuste ordinario; la clave se entrega mediante el mecanismo de secretos del alojamiento, el servicio donde funciona la aplicación. Antes de enviar avisos reales, una persona debe aprobar el texto. Esa aprobación hay que construirla y probarla: ninguna variable la añade por sí sola.

Un archivo .env es texto con nombres y valores que una aplicación puede cargar como variables de entorno. No es lo mismo que la variable: el archivo es una forma de proporcionarla. Tampoco todas las aplicaciones lo leen automáticamente ni interpretan su formato de la misma manera. Si quien mantiene tu web dice que «está en el archivo de entorno», todavía falta saber dónde está ese archivo, quién puede leerlo y si se incluye entre los archivos que se publican.

Git, el sistema que guarda versiones del código, permite indicar qué archivos deben ignorarse mediante .gitignore. Esa exclusión es útil para evitar nuevas incorporaciones, pero no borra lo ya guardado. Si Git ya guardaba el archivo con la clave, añadirlo a la lista de exclusiones no elimina lo que se guardó antes. Un repositorio es el conjunto de archivos y su historial: revisar solo la carpeta actual deja fuera parte de lo que se pudo compartir.

Para entregar el mantenimiento, puedes compartir una plantilla .env.example con los nombres de los ajustes y valores ficticios. Es una convención de documentación, no una protección técnica ni una regla obligatoria de todas las aplicaciones. El nombre del archivo no decide si resulta seguro compartirlo. Lo decide su contenido. En la plantilla explica para qué sirve cada ajuste y deja los valores reales fuera de la copia que recibirá quien revise el proyecto.

La aplicación funciona en un servidor, el ordenador del alojamiento que la ejecuta. Parte del código se envía al navegador del visitante, donde los datos incorporados dejan de ser privados. Next.js, una herramienta para construir aplicaciones web, permite incorporar al código enviado al navegador las variables referenciadas con el prefijo NEXT_PUBLIC_. Ese mecanismo sirve para configuración pública. Una clave privada colocada ahí puede acabar a disposición del visitante aunque inicialmente se haya escrito en un archivo separado del código.

Además, esos valores públicos se fijan al compilar la aplicación, es decir, al preparar el código que se entregará al navegador. Cambiar después el ajuste del servidor no actualiza por sí solo el paquete ya construido. Cuando pidas cambiar una configuración, pregunta cómo la lee esa aplicación y qué hace falta para que utilice el valor nuevo. No des por hecho que todos los programas aplican los cambios del mismo modo ni que siempre basta con reiniciar.

Antes de dar por terminada una entrega, plantea una pregunta concreta: «¿Cómo se carga en producción?» Producción es la instalación que utiliza tu negocio; tu ordenador y el alojamiento pueden tener valores distintos. Cloudflare Workers, por ejemplo, contempla configuración por entorno y distingue los ajustes ordinarios de la opción Secret para datos sensibles. Que algo funcione en el ordenador no demuestra que se haya configurado igual en la instalación publicada.

Si estás preparando una prueba, sigue con qué es un entorno de pruebas. Para entender el dato que concede acceso, lee qué es una clave de API y qué es una API. Si quieres aprender a trabajar con código, tienes el curso Claude Code a fondo. El criterio para revisar la entrega sigue siendo el recorrido del dato: dónde se guarda, quién lo recibe y dónde podría aparecer.