Autenticación
Cabecera Authorization, permisos y errores de autenticación de la API v1.
Todas las rutas requieren una clave privada de una marca en la cabecera Authorization. Para crearla, consulta claves y permisos.
Authorization: Bearer <CLAVE_PRIVADA_DE_LA_MARCA>
Fluyio-Version: 2026-05-15| Propiedad | Comportamiento |
|---|---|
| Formato | Prefijo fly_live_ seguido de 48 caracteres hexadecimales. |
| Almacenamiento | Hash SHA-256. El secreto se muestra una vez; el panel conserva los primeros 15 caracteres como prefijo. |
| Marca | La clave determina la marca de la petición. |
| Caducidad | Opcional, mediante expires_at. |
| Revocación | Una clave revocada deja de autenticar. |
| Pruebas | No hay sandbox. Las claves antiguas fly_test_ reciben 403 test_mode_unavailable. |
Permisos aplicados
| Ruta | Permiso |
|---|---|
GET /subscribers y GET /subscribers/:id | subscribers:read |
POST /subscribers, PATCH /subscribers/:id, DELETE /subscribers/:id | subscribers:write |
POST /subscribers/:id/subscribe y POST /subscribers/:id/unsubscribe | subscribers:write |
Las claves existentes con read cubren lectura; write cubre escritura, no lectura; full cubre ambas. No se amplían los permisos guardados al actualizar la interfaz. Los recursos futuros no están habilitados por disponer de un permiso con su nombre.
La autorización se evalúa también al repetir una petición con Idempotency-Key. Revocar una clave o retirarle un permiso impide usar una respuesta guardada para saltarse esa restricción.
Errores
| HTTP | Código | Qué hacer |
|---|---|---|
| 401 | missing_api_key | Enviar la cabecera Bearer completa. |
| 401 | invalid_api_key | Revisar clave, caducidad y revocación. |
| 403 | missing_scope | Revisar el permiso requerido; no ampliar permisos innecesarios. |
| 403 | test_mode_unavailable | La clave de pruebas está bloqueada. No hay datos aislados. |
| 500 | auth_lookup_failed | La clave no pudo verificarse. Reintentar con espera y conservar el identificador de petición. |
Los errores utilizan el sobre estándar. El identificador request_id permite investigar una petición sin compartir el secreto.
Seguridad de la integración
Guarda claves solo en el servidor, usa HTTPS, separa credenciales por servicio y marca y concede el mínimo permiso necesario. Nunca pegues una clave en una URL ni la envíes a soporte. OAuth para aplicaciones de terceros sigue en la hoja de ruta.