Suno API: clave y errores 401

Actualizado el 2026-11-09 · equipo de Suno-API

Cree una clave API de Suno en la consola, envíela como Authorization: Bearer ... y pruebe la primera solicitud. También cubre 401, 403, 429, tiempos de espera y almacenamiento seguro.

Ruta de 30 segundos: cree la clave en la página de tokens de la consola, ejecute una consulta autenticada y revise la guía de inicio. Un 401 suele indicar clave ausente, falta de espacio después de Bearer, un salto de línea copiado o una clave eliminada.

Qué es una clave de API

La clave es un token bearer vinculado a su cuenta. Lleva el saldo, así que quien tenga la clave puede gastarlo. Se muestra una sola vez al crearla: cópiela y guárdela en un lugar seguro.

Crear una clave

1. Regístrese en https://www.suno-api.io — basta un correo electrónico, sin teléfono.
2. Abra la gestión de tokens de la consola.
3. Cree una clave y cópiela.

Las claves tienen el formato sk-…. Una clave perdida no se puede recuperar: cree otra y elimine la anterior.

Usar la clave

Formato de la cabecera

Envíe la clave en la cabecera Authorization en cada solicitud:

Authorization: Bearer YOUR_API_KEY
Content-Type: application/json

Ejemplo

curl -X POST https://www.suno-api.io/api/music/create \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "una pieza de piano tranquila para una cafetería"}'

Errores de autenticación

401 Unauthorized

La cabecera falta, está mal formada o la clave no existe.

{
  "error": {
    "message": "Invalid API key provided",
    "type": "invalid_request_error",
    "code": "invalid_api_key"
  }
}

Compruebe que la cabecera sea exactamente Bearer <clave> (con espacio después de Bearer) y que no se haya colado un salto de línea al final de la clave.

403 Forbidden

La clave existe pero no tiene permiso para esta petición: casi siempre porque la clave fue deshabilitada o la cuenta está suspendida. Revisa el estado de la cuenta en la consola y contacta con el soporte si el motivo no está claro.

Buenas prácticas de seguridad

No ponga la clave en código de cliente

Nunca incruste la clave en páginas web, aplicaciones móviles o binarios de escritorio. Cualquiera que abra las herramientas de desarrollo puede leerla y gastar su saldo. Llame a la API desde su propio servidor y exponga su endpoint a sus usuarios.

Use variables de entorno

Linux / macOS

# ~/.bashrc o ~/.zshrc
export SUNO_API_KEY="sk-your-key-here"

# Python
import os
api_key = os.environ["SUNO_API_KEY"]

.env

# archivo .env — añádalo a .gitignore
SUNO_API_KEY=sk-your-key-here

Windows

setx SUNO_API_KEY "sk-your-key-here"

Node.js

require('dotenv').config();
const apiKey = process.env.SUNO_API_KEY;

Rote la clave cuando haga falta

Rota las claves cada 3-6 meses y de inmediato si sospechas una filtración. Elimina las claves que ya no uses: una clave sin usar solo es un riesgo sin usar.

Límite de peticiones

Las peticiones están limitadas por clave:

429 Too Many Requests

Si superas un límite, la API responde 429 y la respuesta puede incluir un valor retry_after en segundos. Espera ese tiempo antes de reintentar; baja el ritmo de peticiones, encola el trabajo o reintenta con retroceso exponencial en lugar de en bucle cerrado.

Estrategia de reintentos

Reintenta solo ante fallos explícitos. No reintentes tras un timeout de lectura o de conexión: los endpoints de generación son síncronos, así que un timeout puede significar que el pedido ya se aceptó y se está generando — reintentar crea un pedido duplicado y te cobra dos veces. Configura el timeout del cliente en 300 segundos o más y, tras una conexión cortada, confirma el pedido con GET /api/music/songs antes de reenviarlo. Consulta «Tiempos de espera y configuración de timeout» en el Resumen de la nueva API.

Reintente con retroceso exponencial en lugar de en un bucle ajustado:

import time

delay = 1.0
for attempt in range(5):
    response = call_api()
    if response.status_code != 429:
        break
    time.sleep(delay)
    delay *= 2

Preguntas frecuentes

¿Qué formato tiene la clave?

Empieza por sk- seguido de letras y dígitos, unas 50-60 posiciones en total.

¿Puedo llamar a la API desde el navegador?

Técnicamente sí, pero no en producción: la clave quedaría visible para todos los visitantes. Hágalo a través de su propio backend.

¿Cómo sé si la clave sigue siendo válida?

Envíe cualquier solicitud autenticada. 200 significa que funciona; 401, que es inválida o se eliminó.

He perdido la clave, ¿qué hago?

Las claves no se recuperan. Cree una nueva en la consola y elimine la anterior.

¿Cuántas claves puede tener una cuenta?

No hay un límite fijo. Usa una clave por aplicación o entorno para poder revocarlas por separado y elimina las que dejes de usar.

¿Caducan las claves?

Siguen válidas hasta que las elimine o cierre la cuenta. Rotarlas periódicamente sigue siendo buena práctica.

¿Cómo sigo el consumo?

Entra en la consola: allí se lista el uso por clave, con número de peticiones, gasto y tareas recientes.

Páginas relacionadas

• Guía de inicio rápido
• Modelos compatibles