Cada clave tiene una lista opcional de orígenes permitidos: los dominios (hostnames) desde los que se acepta usarla cuando la petición llega con cabecera Origin (es decir, desde un navegador). El formato es el hostname desnudo, sin https:// ni ruta — por ejemplo miapp.midominio.es, nunca https://miapp.midominio.es/.
Vacía = sin restricción de origen (el valor por defecto, y el que muestra la columna «Orígenes permitidos» como «Sin restricción»): la clave funciona desde cualquier sitio. Restringir el origen tiene sentido cuando la clave se va a usar desde un frontend en el navegador (por ejemplo, un widget propio que llama a la API con esta clave incrustada) y quieres reducir el daño si esa clave se filtrara — limita desde qué dominios web se puede usar.
Nota — No es una defensa contra todo
La comprobación de origen solo se aplica cuando la petición trae la cabecera
Origin(típico de un navegador). Una llamada servidor-a-servidor —el uso principal de una clave de API— normalmente no envía esa cabecera, así que pasa igual aunque la lista de orígenes esté restringida. Es una capa contra el abuso desde un navegador, no el secreto principal que protege la clave: ese sigue siendo la propia clave.
El formulario «Nueva clave» (apartado 4) trae el campo «Orígenes permitidos» ya relleno con * — no hace falta tocarlo si te vale con «sin restricción». Para restringir, sustitúyelo por una lista de hostnames separados por comas (por ejemplo miweb.com, app.miweb.com — cada uno cubre también sus subdominios), sin https:// ni barras; el límite es de 50 orígenes por clave. Un valor que no sea un hostname válido (con https://, con ruta, con espacios…) da un error inmediato en el propio formulario, antes de enviar el código.
