Resumen

  • Desde el 28 de julio de 2026, ARIN permite cuentas de servicio no humanas y recomienda enviar el token REST en la cabecera Authorization; la opción en la URL sigue activa.
  • Las sugerencias 2022.5 y 2022.11, presentadas por separado en 2022, se cerraron después del lanzamiento.

Una URL nació para señalar un destino, no para custodiar secretos. Aun así, los sistemas que registran peticiones suelen guardar la dirección completa. Si la clave API va en un parámetro de consulta, el registro se queda también con la credencial.

ARIN añadió el 28 de julio una alternativa preferida: Authorization: ApiKey <API_KEY>. El token viaja en la cabecera HTTP en vez de formar parte de la URL. La forma antigua continúa funcionando. ARIN llama más segura a la nueva; su ventaja concreta es sacar la clave de un campo que suele acabar copiado en los registros de petición.

La sugerencia 2022.5 planteó ese problema el 11 de febrero de 2022. Su autor pidió una alternativa al parámetro de URL y explicó el riesgo de que los logs expusieran el token a quien pudiera leerlos. ARIN eligió la cabecera y dejó el cambio en la hoja de ruta de ingeniería. La propuesta quedó cerrada el 29 de julio de 2026, un día después de que la función entrara en servicio.

En el mismo lanzamiento, ARIN retiró la restricción que impedía crear cuentas de servicio no humanas. La sugerencia 2022.11 había pedido cuentas de ese tipo para las integraciones programáticas. La respuesta inicial de ARIN hablaba de trazabilidad: quería saber quién había realizado los cambios cuando una API modificaba un registro. En abril de 2022, también reconoció que las cuentas de servicio beneficiarían a los clientes y que eliminar la barrera requería poco trabajo. La propuesta permaneció abierta hasta que la función se activó, más de cuatro años después.

Una cuenta da nombre al proceso; una cabecera cambia el recorrido del secreto. Son controles distintos. La guía Reg-RWS de ARIN sigue exigiendo que la cuenta esté vinculada a un Point of Contact con autoridad para modificar el registro. La clave autentica la llamada; la autorización del POC marca quién puede tocar esos datos.

La guía de claves API añade detalles prácticos: las claves no caducan, pueden desactivarse cuando sea necesario y solo se muestran completas al crearlas. También se pueden emitir varias para seguir solicitudes o accesos a informes por separado. En 2024 ARIN consultó sobre la cabecera y sobre limitar las claves por rangos de IP. La respuesta colocó el segundo asunto en una fase distinta de estudio. El lanzamiento de 2026 anunció la cabecera; cada control tiene su propio recorrido.

La automatización ya puede presentarse con su propio nombre y dejar de llevar el secreto en la dirección postal de la petición. El siguiente paso corresponde a cada operador: nombrar a la persona responsable de cada cuenta máquina y a quien pueda retirar su clave.

Fuentes