Claves de API con permisos: acceso restringido a KYC

Cada aplicación empieza con un secreto principal que tiene acceso completo a todo lo que la aplicación puede hacer. Junto a él puedes añadir claves de API con nombre, una por servicio o socio, cada una con solo el acceso que necesita. Dale a tu proveedor de pagos una clave que lea las sesiones aprobadas de un solo flujo y no pueda cambiar nada, mantén una clave aparte para tu backend y revoca cualquiera de las dos sin tocar la otra.

---

​

Dónde encontrarlas

En la Business Console, selecciona tu aplicación y abre Developers -> API keys. La lista muestra todas las claves de la aplicación con su estado, sus solicitudes de los últimos 30 días, quién la creó, su acceso y cuándo se usó por última vez. Haz clic en una clave para ver una vista previa a la derecha, o abre su página completa para ver el uso, el acceso, las solicitudes recientes, un fragmento de inicio rápido y su actividad. Las claves pertenecen a una aplicación y solo funcionan para ella. Una clave tiene el entorno de la aplicación: las claves de una aplicación de sandbox nunca crean verificaciones facturadas.

---

​

URL de redirección y dominios permitidos

Abre Developers > API keys > Redirects and domains para configurar dos listas para la aplicación y el entorno que tengas seleccionados. Cuando la lista de Dominios permitidos tiene entradas, Crear sesión rechaza con un error 400 un callback que no esté en ninguno de ellos. Una lista vacía significa que no hay restricción. Las llamadas de servidor a servidor no se ven afectadas.

---

​

Crear una clave

​

Accesos predefinidos

​

Recursos

La lectura cubre las solicitudes GET sobre un recurso; la escritura cubre además POST, PUT, PATCH y DELETE. Una clave con acceso personalizado funciona en la API pública: los endpoints de sesiones, usuarios, empresas, transacciones, flujos y webhooks, y las comprobaciones independientes. Los endpoints que solo usa la Business Console devuelven 403; requieren una clave con acceso total. Una clave sin lectura en Medios recibe las decisiones de las sesiones con todas las URL de imágenes, videos y PDF establecidas en null, y los endpoints de informes en PDF responden 403. Una clave sin escritura en Sesiones nunca recibe el enlace de verificación ni el token de sesión de una sesión, ya que quien los tenga puede completar la verificación como si fuera el usuario final: esos campos se devuelven como null. Por el mismo motivo, crear una persona con send_verification_link: true requiere escritura en Sesiones además de escritura en Personas, porque crea una sesión y envía su enlace por correo electrónico. Sin ella, la solicitud devuelve 403 y no crea nada.

​

Límites

Una clave limitada a algunos flujos o a sesiones aprobadas funciona en los endpoints de sesiones, donde se puede aplicar el límite. No puede tener acceso a personas, empresas, transacciones ni analíticas, y no puede ejecutar comprobaciones independientes.

---

​

Cómo responde la API a una clave con acceso limitado

Las listas de sesiones solo devuelven las sesiones que permiten los límites de la clave.

---

​

Editar acceso

Abre el menú de una clave, su vista previa o su página y elige Editar acceso. Cambia el acceso predefinido, los recursos, los límites o la caducidad y revisa únicamente los cambios antes y después de aplicarlos. El secreto sigue siendo el mismo, así que no hace falta volver a desplegar nada, y el nuevo acceso se aplica en menos de un minuto. El secreto principal siempre tiene acceso total y no se puede editar.

---

​

Rotar una clave

Al rotar una clave se reemplaza su secreto. El nuevo secreto se muestra una sola vez, y el secreto actual sigue funcionando durante 24 horas para que puedas desplegar el nuevo sin tiempo de inactividad. Después, todas las solicitudes con el secreto antiguo devuelven 401. El secreto principal se rota de la misma forma, con el mismo periodo de solapamiento de 24 horas.

---

​

Revocar una clave

Al revocar una clave, deja de funcionar de inmediato: todas las solicitudes que se hagan con ella responden 401. No se puede deshacer. El secreto principal no se puede revocar; rótelo en su lugar.

---

​

Uso y registro de auditoría

Cada clave muestra sus solicitudes de los últimos 30 días, su tasa de errores y su latencia, y sus solicitudes más recientes con sus códigos de estado, incluidas las que sus límites rechazaron. Cada llamada hecha con una clave de API aparece en los registros de auditoría de la organización con el nombre de la clave que realizó la llamada.

---

​

Quién puede gestionar las claves

Para gestionar las claves de API se necesita el permiso Claves de API: lectura para verlas y escritura para crearlas, editarlas, rotarlas y revocarlas. Consulta Roles y permisos.