Una clave de API en la línea de comandos la puede leer cualquiera

Qué pasa

Muchos servidores de modelos aceptan --api-key <clave> al arrancar. Funciona, pero la clave queda en texto plano en la lista de procesos (ps) y en docker inspect. Cualquiera con acceso a la máquina la ve, y es muy fácil pegarla sin querer en unas notas o en una captura.

Cómo evitarlo

• Pasa la clave por variable de entorno o fichero con permisos 600, no como argumento.
• Si tienes que documentar el comando, escribe --api-key [REDACTED].
• Antes de pegar la salida de docker inspect en cualquier sitio, revísala: el comando completo lleva la clave.
• Si una clave se ha mostrado en pantalla, cámbiala.