Tus Claves de API son la puerta de entrada a tu cuenta. Trátalas con el mismo cuidado que la contraseña de tu base de datos.
Dónde se generan
Activa el Modo desarrollador (el interruptor al fondo del índice de Ajustes) y abre la pestaña API en el dock de Desarrolladores, la barra que aparece al fondo de la pantalla (/app?wb=api). Ahí creas llaves nuevas, eliges su alcance (lectura o escritura) y las revocas. La llave secreta se muestra una sola vez al crearla; guárdala en un gestor de secretos, nunca en el código fuente.
Autenticación
La API es REST sobre HTTPS. Cada petición lleva tu llave en el header Authorization:
curl https://cordhq.app/api/v1/me \
-H "Authorization: Bearer sk_live_tu_llave"Respuesta:
{ "org": { "id": "...", "nombre": "Tu Negocio", "plan": "pro" }, "scope": "write", "mode": "live" }Entornos (Live vs Test)
Al crear una llave eliges su modo:
- Test (
sk_test_...): no consume tu medidor de uso de API ni cuenta para tu facturación. Opera sobre el entorno de prueba de tu cuenta (una organización espejo, aislada de tus datos reales — mismo mecanismo que el interruptor “Entorno de prueba” del selector de organización). La primera llamada con una llave test crea esa organización espejo si todavía no existe. Que el timbrado CFDI sea real o simulado depende de si tienes tu CSD conectado, no del modo de la llave. Ver Probar Cord sin afectar tu producción. - Live (
sk_live_...): úsala en producción. Cada llamada cuenta para el consumo de tu plan.
Alcances (Scopes)
- Lectura (
read): consulta cotizaciones, clientes, productos y cartera. - Escritura (
write): además puede crear cotizaciones, clientes y productos.
Rotación de Llaves
No hay rotación “en sitio” con periodo de gracia. Si una llave se filtró (ej. se subió por error a GitHub):
- Abre la pestaña API en el dock de Desarrolladores (actívalo en Ajustes > Empresa si no lo ves).
- Crea una llave nueva y actualiza tus servidores con ella.
- Revoca la llave comprometida. La revocación es inmediata: cualquier petición con esa llave responderá
401.