diff --git a/.gitignore b/.gitignore
new file mode 100644
index 0000000..8012272
--- /dev/null
+++ b/.gitignore
@@ -0,0 +1,2 @@
+# Credenciales locales — nunca commitear
+pagos/api/config.php
diff --git a/pagos/api/auth.php b/pagos/api/auth.php
index f6cdf07..132ea9f 100644
--- a/pagos/api/auth.php
+++ b/pagos/api/auth.php
@@ -1,12 +1,9 @@
 <?php
 // pagos/api/auth.php
-// Protección súper rápida con Basic Auth. 
-// Cámbiale la contraseña o envuélvelo en las variables de entorno de tu contenedor.
+// Las credenciales viven en config.php (gitignoreado). Ver config.example.php.
+require_once __DIR__ . '/config.php';
 
-$valido_usuario = 'root';
-$valido_pass = 'pagos123';
-
-if (!isset($_SERVER['PHP_AUTH_USER']) || $_SERVER['PHP_AUTH_USER'] !== $valido_usuario || $_SERVER['PHP_AUTH_PW'] !== $valido_pass) {
+if (!isset($_SERVER['PHP_AUTH_USER']) || $_SERVER['PHP_AUTH_USER'] !== AUTH_USER || $_SERVER['PHP_AUTH_PW'] !== AUTH_PASS) {
     header('WWW-Authenticate: Basic realm="Sanctuary Finanzas"');
     header('HTTP/1.0 401 Unauthorized');
     die("Acceso denegado.");
diff --git a/pagos/api/config.example.php b/pagos/api/config.example.php
new file mode 100644
index 0000000..e9f5c22
--- /dev/null
+++ b/pagos/api/config.example.php
@@ -0,0 +1,6 @@
+<?php
+// Copiar este archivo como config.php y completar con las credenciales reales.
+// config.php está en .gitignore y NUNCA debe commitearse.
+
+define('AUTH_USER', 'cambiar_usuario');
+define('AUTH_PASS', 'cambiar_contraseña');