Autenticación entre servidores
La API B2B utiliza el header X-API-Key. La clave determina el Tenant y el entorno; enviar el identificador de otra empresa no cambia ese alcance. Las credenciales de API son distintas del acceso al Portal y de los tokens de sesión del navegador.
X-API-Key: REPLACE_ON_YOUR_SERVERProteja el secreto
- Guarde la clave en un gestor de secretos o en la configuración protegida del servidor.
- Nunca la incluya en JavaScript público, URLs, aplicaciones distribuidas, repositorios o consultas de soporte.
- Registre únicamente datos operativos necesarios. Oculte headers y datos personales en los logs.
- Separe credenciales y configuración por entorno. Conceda solo los permisos necesarios.
Ante una posible exposición, deje de utilizar la clave comprometida, coordine su revocación y sustitución con el responsable del entorno y confirme que los consumidores utilizan la nueva credencial. La rotación no debe requerir cambios en la aplicación de la persona verificada.
Diagnóstico del acceso
401 puede indicar una clave ausente, inválida, revocada o incompatible con el entorno. Según la operación, 403 también puede representar un entorno deshabilitado, permisos insuficientes o una IP no autorizada. Evite reintentos infinitos.
Las descargas requieren autorización propia; acceder a una transacción no habilita automáticamente sus archivos. Consulte documentos y evidencias y los códigos de la referencia.