Claves y permisos
Crea una clave privada por marca y limita las operaciones que puede realizar tu integración.
Antes de empezar
Selecciona la marca correcta en el panel de Fluyio y abre Desarrolladores → Claves de API. Una clave pertenece a esa marca: no cambia de marca al cambiar el selector del panel.
Crea una clave con un nombre reconocible, por ejemplo sincronizacion-crm. Elige solo los permisos necesarios y, si corresponde, una fecha de caducidad.
| Permiso | Operaciones autorizadas |
|---|---|
subscribers:read | Listar y consultar suscriptores. |
subscribers:write | Crear, editar y eliminar perfiles; registrar altas y bajas de consentimiento. |
La escritura no incluye lectura. Si necesitas ambas, marca ambos permisos. No existen todavía rutas públicas de campañas, listas ni flujos.
Las claves actúan sobre datos reales
Las claves de producción fly_live_ leen y modifican datos de su marca. No hay un sandbox aislado. Las antiguas claves fly_test_ están bloqueadas con 403 test_mode_unavailable; no las uses para probar sobre datos reales.
Guarda el secreto una sola vez
El panel muestra la clave completa al crearla. Guárdala en la configuración privada de tu servidor o gestor de secretos antes de cerrar la ventana. Fluyio conserva un hash SHA-256 y un prefijo identificativo, no muestra después el secreto completo.
Nunca incluyas una clave en JavaScript del navegador, una aplicación móvil, un repositorio, una captura ni un enlace. Una clave por servicio facilita revocar solo la integración afectada.
Primera consulta de solo lectura
Configura FLUYIO_API_KEY como variable privada de tu servidor y ejecuta:
curl 'https://fluyio.com/api/v1/subscribers?limit=10' \
-H "Authorization: Bearer $FLUYIO_API_KEY" \
-H 'Fluyio-Version: 2026-05-15'La clave se envía solo en Authorization: Bearer …, nunca en la URL ni en el cuerpo. Usa HTTPS y fija la versión.
Qué ocurre si falta un permiso
Cada ruta comprueba la clave y sus permisos antes de ejecutar la operación o devolver una respuesta guardada por idempotencia. Si falta el permiso requerido devuelve 403 missing_scope, con required_scope y granted_scopes.
Las claves antiguas pueden conservar permisos globales: read permite lectura, write solo escritura y full ambas. Los permisos de recursos futuros no conceden acceso a suscriptores. La nueva interfaz ofrece permisos concretos para evitar otorgar acceso innecesario.
Caducidad, rotación y revocación
- Una clave caducada o revocada devuelve
401 invalid_api_key. - Para cambiar de clave sin interrumpir tu integración, crea una nueva con los mismos permisos necesarios, actualiza tu servidor y comprueba su uso antes de revocar la antigua.
- Si sospechas una filtración, revoca la clave afectada. No basta con borrarla del código o del historial del repositorio.
- No compartas una clave entre marcas. Para integrar varias marcas necesitas una clave de cada una.
La API no ofrece todavía OAuth delegado para aplicaciones de terceros. Compartir una clave concede acceso a quien la recibe: revisa sus permisos y quién custodiará el secreto.