Skip to main content
Las claves de API autentican las solicitudes a la API pública de /v1. Cada clave pertenece a una cuenta de servicio y se crea desde la página de detalles de dicha cuenta en el Developer Hub. Utilice una clave de API con alcance limitado para una integración de backend privada cuando el almacenamiento seguro y la rotación de un secreto satisfagan sus requisitos. No se necesita ningún cliente OAuth ni intercambio de tokens. Consulte Autenticación si su organización requiere, en su lugar, tokens de acceso OAuth de corta duración.

​
Anatomía de una clave

  • Identificador — comienza con ak_. Se puede consultar sin riesgo en tickets, registros y configuraciones; por sí solo no concede ningún acceso.
  • Secreto — comienza con lsk_live_. Es la credencial que presenta su integración. Se muestra una sola vez, al crearla o rotarla, y no se puede recuperar posteriormente. La lista de claves muestra únicamente los últimos cuatro caracteres (por ejemplo, lsk_live_…xQc4) para que pueda relacionar una fila con la credencial que posee un solicitante.
  • Permisos — un subconjunto de los permisos de la cuenta de servicio propietaria, elegido al crear la clave. Una clave nunca puede hacer más de lo que permite su cuenta.
  • Vencimiento — obligatorio. Toda clave tiene una fecha de vencimiento.
Almacene los secretos en un gestor de secretos en cuanto se muestren. Nunca los incluya en el control de versiones, los incruste en código del lado del cliente ni los comparta por chat. Cualquier persona que tenga el secreto puede actuar con los permisos de la clave.

​
Crear una clave

En la página de detalles de la cuenta de servicio, cree una clave siguiendo cuatro pasos: asígnele un nombre, seleccione los permisos que necesita esta clave en concreto, elija un vencimiento —30, 90 o 365 días, o un período personalizado de hasta un año— y revise. El secreto se muestra al finalizar, una sola vez. Limite el alcance de cada clave al conjunto de permisos mínimo que necesite su solicitante, incluso cuando la cuenta permita más. Si una clave se filtra, sus permisos determinan el alcance del daño.

​
Rotar sin tiempo de inactividad

La rotación emite un nuevo secreto e inicia un período de solapamiento —1 hora, 24 horas o 7 días— durante el cual el secreto anterior sigue funcionando. Esto le permite implementar el nuevo secreto en sus despliegues a su propio ritmo:
1

Rote la clave

Elija un período de solapamiento que cubra su ruta de despliegue más lenta. El nuevo secreto se muestra una sola vez; almacénelo de inmediato.
2

Actualice sus integraciones

Sustituya el secreto anterior en todos los lugares donde esté configurado. El estado de la clave se muestra como en solapamiento hasta que finalice el período.
3

Verifique antes de que se cierre el período

Utilice los registros de solicitudes para confirmar que el tráfico se ha trasladado al nuevo secreto. Cuando finaliza el solapamiento, el secreto anterior deja de autenticar.
Rote también antes del vencimiento: las claves que se acercan a su fecha de vencimiento se marcan como por vencer en la lista de claves. Una clave vencida deja de autenticar; las solicitudes realizadas con ella devuelven un 401 con el código credential_expired.

​
Revocar de inmediato

La revocación surte efecto de inmediato y es permanente: no hay período de solapamiento ni opción de deshacer. Revoque una clave en cuanto sospeche que su secreto ha quedado expuesto; rote la clave en su lugar cuando esté sustituyendo una credencial en buen estado. Las solicitudes realizadas con una clave revocada devuelven un 401 con el código credential_revoked. Si necesita detener a la vez todas las claves que posee una integración, deshabilite en su lugar su cuenta de servicio.