Crear API keys por empresa, ambiente y permisos
Controlá el acceso a la API Factumel con claves restringidas por empresa, scopes específicos, rotación y entornos separados.
Alcance de una clave
Desde /dashboard/api podés crear una clave para una empresa concreta o para todas las empresas de la organización. Recomendamos seleccionar una empresa cuando un tercero integra sólo ese negocio.
Las claves generadas antes de implementar los alcances por empresa conservan su alcance organizacional hasta que se revoquen; conviene rotarlas para aplicar mínimo privilegio.
Generar una credencial segura
El permiso webhooks:manage sólo está disponible para claves con alcance organizacional, porque los webhooks pueden procesar eventos de varias empresas.
- Elegí una organización donde tengas autorización para gestionar la API.
- Indicá un nombre que identifique la aplicación cliente.
- Seleccioná TEST, HOMOLOGATION o PRODUCTION.
- Elegí la empresa individual o el alcance de toda la organización explícitamente.
- Marcá sólo los scopes necesarios; para recibidos necesitás received:read.
- Guardá el secreto cuando aparezca: no vuelve a mostrarse completo.
Qué pasa si se filtra la clave
Revocá la credencial desde el panel y emití otra con permisos mínimos. Actualizá la configuración secreta del servidor cliente y revisá los eventos de auditoría disponibles.
Las credenciales no se deben incluir en NEXT_PUBLIC_*, almacenamiento web, URLs ni consultas de analítica. Un 404 ante un recurso ajeno evita revelar datos de otros tenants.