Autenticación

Cada petición lleva tu llave. La llave pertenece a tu usuario de CDTEC IF y ve lo mismo que él.

Encabezado

Envía la llave completa en X-Api-Key:

X-Api-Key: cdtec_3f9a1c2e_…

O, si tu herramienta solo sabe de tokens Bearer:

Authorization: Bearer cdtec_3f9a1c2e_…

Si Authorization trae otra cosa (por ejemplo, un proxy tuyo agrega su propio token), la API ignora ese valor y usa X-Api-Key.

Formato de la llave

cdtec_ + 8 caracteres hexadecimales (el prefijo, visible en Mi cuenta › API y en la administración de CDTEC) + _ + 43 caracteres (el secreto). En los servidores de CDTEC no se guarda la llave, solo una huella criptográfica: por eso no se puede volver a mostrar.

Qué ve la llave

• Exactamente los campos a los que tiene acceso tu usuario en CDTEC IF. Si CDTEC te agrega o quita un campo, la llave lo refleja en la petición siguiente.
• Un recurso de otra cuenta responde 404, igual que uno inexistente: no es posible saber si un id ajeno existe.
• Solo lectura (scopes: ["lectura"]). No hay forma de programar riegos ni modificar datos por esta API.

Cuándo deja de servir

La API vuelve a comprobar en cada petición que la llave y su dueño siguen vigentes. Responde 401 (siempre el mismo, sin decir cuál fue la causa) si:

• la llave fue revocada o rotada (por ti o por CDTEC);
• tu usuario fue desactivado o eliminado, o CDTEC le quitó el acceso a la API;
• tu usuario ya no pertenece a la cuenta con la que se generó la llave;
• la llave está mal formada o no existe.

Rotación

En Mi cuenta › API › Rotar llave se genera una llave nueva y la anterior se revoca en el mismo acto. Es la forma correcta de reaccionar ante cualquier sospecha de filtración o al cambiar de proveedor de integración. Para rotar sin interrumpir tu servicio:

1. Rota la llave y copia la nueva.
2. Actualiza el secreto en tu sistema y despliega.
3. Las peticiones con la llave anterior reciben 401 desde el instante de la rotación: ten el cambio listo antes de rotar.

Tu usuario tiene una sola llave activa a la vez. Si necesitas varias integraciones con llaves distintas, usa un usuario por integración.

Revocación

Mi cuenta › API › Revocar deja la llave inutilizable de inmediato. CDTEC también puede revocar cualquier llave desde su administración (por ejemplo, ante un uso anómalo); en ese caso la pantalla te lo indica y puedes generar una nueva.

Buenas prácticas

• Guarda la llave en un gestor de secretos o en variables de entorno. Nunca en el código fuente, en un repositorio, en una planilla compartida ni en un chat.
• Usa HTTPS siempre (la API no responde por HTTP sin cifrar).
• Llama a la API solo desde el servidor. No la incrustes en una página web ni en una app móvil: cualquiera podría extraerla.
• Un usuario dedicado por integración, con acceso solo a los campos necesarios.
• Revisa el último uso y la última IP en Mi cuenta › API; si no los reconoces, rota la llave.
• Registra en tus sistemas los 401 y 429: avisan de una llave caducada o de un exceso de peticiones.