## Autenticación entre servidores

La API B2B utiliza el header `X-API-Key`. La clave determina el Tenant y el entorno; enviar el identificador de otra empresa no cambia ese alcance. Las credenciales de API son distintas del acceso al Portal y de los tokens de sesión del navegador.

```http
X-API-Key: REPLACE_ON_YOUR_SERVER
```

## Proteja el secreto

- Guarde la clave en un gestor de secretos o en la configuración protegida del servidor.
- Nunca la incluya en JavaScript público, URLs, aplicaciones distribuidas, repositorios o consultas de soporte.
- Registre únicamente datos operativos necesarios. Oculte headers y datos personales en los logs.
- Separe credenciales y configuración por entorno. Conceda solo los permisos necesarios.

Ante una posible exposición, deje de utilizar la clave comprometida, coordine su revocación y sustitución con el responsable del entorno y confirme que los consumidores utilizan la nueva credencial. La rotación no debe requerir cambios en la aplicación de la persona verificada.

## Diagnóstico del acceso

`401` puede indicar una clave ausente, inválida, revocada o incompatible con el entorno. Según la operación, `403` también puede representar un entorno deshabilitado, permisos insuficientes o una IP no autorizada. Evite reintentos infinitos.

Las descargas requieren autorización propia; acceder a una transacción no habilita automáticamente sus archivos. Consulte [documentos y evidencias](/es/desarrolladores/kyc/documentos-y-evidencias) y los códigos de la [referencia](/es/desarrolladores/kyc/referencia).