Primeros pasos
Autenticación
Cada petición lleva la clave de API de la empresa en la cabecera x-api-key.
Las rutas /v1/... se autentican con la clave de API de la empresa en la cabecera x-api-key. No hay sesiones ni tokens temporales: la misma clave sirve hasta que la revoques.
curl https://api.pasarela.melenashair.com/v1/me \
-H "x-api-key: sk_test_4f9c…"| Rutas | Quién | Cabecera |
|---|---|---|
/v1/... | La empresa | x-api-key: sk_test_… o sk_live_… |
/admin/... | La plataforma | x-admin-token |
/pay/... y /health | Cualquiera | Ninguna |
Si la clave falta, es incorrecta o está revocada, la respuesta es 401 con { "error": "Clave de API inválida" }. En las rutas de la plataforma el mensaje es No autorizado.
La clave va solo en tu servidor
Quien tenga la clave puede cambiar tu webhook y tus comisiones y ver todos tus clientes. No la pongas en una app móvil, en JavaScript del navegador ni en el repositorio. Lo que sí puede ver el usuario son las rutas públicas /pay/....
La plataforma puede actuar en nombre de una empresa enviando x-admin-token junto con x-merchant-id: <id de la empresa> en lugar de x-api-key. Así funciona el panel de administración. Cómo crear, rotar y revocar claves está en Claves de API.