Cuotas, claves y planes de uso

En Amazon API Gateway las claves de API identifican a un cliente para aplicarle un plan de uso con límite de tasa, ráfaga y cuota. La propia documentación advierte que no se usen para autenticar ni autorizar el acceso: quien tenga una clave válida de un plan puede llamar a todas las APIs de ese plan. Para controlar el acceso se usan roles de IAM, autorizadores de Lambda o un grupo de usuarios de Cognito, y la clave se suma como medición.

Los límites y cuotas de un plan de uso se aplican con el mejor esfuerzo y en algunos casos un cliente puede superarlos. La documentación aconseja no apoyarse en ellos para controlar costos ni para bloquear accesos, y propone presupuestos para vigilar el gasto y un cortafuegos de aplicaciones web para gestionar las peticiones.

Abre planes-de-uso.json y claves-de-api.txt. Un plan pensado para uso interno, con límites altos y sin cuota, asignado a una clave de un tercero, es una desproporción: el tercero queda sin tope diario.

consumo-2026-10-01.txt recoge las peticiones que se contaron por clave ese día. Con la cuota diaria de su plan puedes ver quién la superó y por cuánto, y confirmar que el límite no es un muro.

Una respuesta 429 indica que el cliente superó su tasa. Abre respuestas-429-2026-10-01.txt: el cliente que más límites toca no siempre es el que abusa; a veces es el que tiene un plan demasiado pequeño para su uso legítimo, y eso también es un hallazgo de diseño.