Autenticación y Claves API (API Keys)

Tus Claves de API son la puerta de entrada a tu cuenta. Trátalas con el mismo cuidado que la contraseña de tu base de datos.

Dónde se generan

Activa el Modo desarrollador (el interruptor al fondo del índice de Ajustes) y abre la pestaña API en el dock de Desarrolladores, la barra que aparece al fondo de la pantalla (/app?wb=api). Ahí creas llaves nuevas, eliges su alcance (lectura o escritura) y las revocas. La llave secreta se muestra una sola vez al crearla; guárdala en un gestor de secretos, nunca en el código fuente.

Autenticación

La API es REST sobre HTTPS. Cada petición lleva tu llave en el header Authorization:

curl https://cordhq.app/api/v1/me \
  -H "Authorization: Bearer sk_live_tu_llave"

Respuesta:

{ "org": { "id": "...", "nombre": "Tu Negocio", "plan": "pro" }, "scope": "write", "mode": "live" }

Entornos (Live vs Test)

Al crear una llave eliges su modo:

• Test (sk_test_...): no consume tu medidor de uso de API ni cuenta para tu facturación. Opera sobre el entorno de prueba de tu cuenta (una organización espejo, aislada de tus datos reales — mismo mecanismo que el interruptor “Entorno de prueba” del selector de organización). La primera llamada con una llave test crea esa organización espejo si todavía no existe. Que el timbrado CFDI sea real o simulado depende de si tienes tu CSD conectado, no del modo de la llave. Ver Probar Cord sin afectar tu producción.
• Live (sk_live_...): úsala en producción. Cada llamada cuenta para el consumo de tu plan.

Alcances (Scopes)

• Lectura (read): consulta cotizaciones, clientes, productos y cartera.
• Escritura (write): además puede crear cotizaciones, clientes y productos.

Conexiones autorizadas

Zapier y Make no usan llaves: se conectan con un clic en una pantalla de Cord. Cada conexión aparece en la misma lista como Conexión autorizada, con el nombre de la app, y no cuenta contra el número de llaves de tu plan. Para cortar el acceso de una app, revoca su conexión igual que una llave; la app te pedirá volver a autorizarla.

Rotación de Llaves

No hay rotación “en sitio” con periodo de gracia. Si una llave se filtró (ej. se subió por error a GitHub):

1. Abre la pestaña API en el dock de Desarrolladores (actívalo en Ajustes > Empresa si no lo ves).
2. Crea una llave nueva y actualiza tus servidores con ella.
3. Revoca la llave comprometida. La revocación es inmediata: cualquier petición con esa llave responderá 401.