Skip to main content
No necesita OAuth para utilizar la API pública. Para una integración privada del lado del servidor, comience con una clave de API con alcance limitado y siga la guía de inicio rápido. Elija las credenciales de cliente OAuth cuando su política de seguridad exija tokens de acceso de corta duración o cuando su plataforma de integración ya admita ese flujo. Ambas opciones utilizan una cuenta de servicio. Una cuenta de servicio es la identidad de la integración, no un tercer método de autenticación.

​
Cómo encajan las piezas

Cree una cuenta de servicio por integración. Elija una clave de API o un cliente OAuth para esa cuenta; no necesita ambos métodos en cada solicitud a la API. Ninguna de las credenciales puede exceder los permisos actuales de la cuenta. La guía de inicio rápido utiliza la autenticación Basic. También se admite un encabezado Bearer para las claves de API; utilizar ese encabezado no significa que necesite un cliente OAuth.

​
Elija una clave de API para una integración sencilla

Utilice una clave de API para sus propios trabajos programados, scripts de generación de informes, canalizaciones de datos u otros servicios de backend cuando un secreto almacenado en su gestor de secretos cumpla sus requisitos de seguridad.
  • Realice solicitudes autenticadas directamente; no se requiere ningún intercambio de tokens.
  • Seleccione únicamente los permisos que necesita la carga de trabajo y defina una fecha de vencimiento.
  • Rote la clave mediante su período de superposición o revóquela de inmediato si queda expuesta.
Una integración con clave de API no necesita un cliente OAuth. Comience con la guía de inicio rápido y consulte después Claves de API para conocer la creación y la rotación.

​
Elija OAuth para tokens de acceso de corta duración

Utilice las credenciales de cliente OAuth para un servicio de backend confidencial cuando su organización exija tokens de acceso con vencimiento o cuando una herramienta de integración espere la concesión client_credentials.
  1. Cree un cliente OAuth con alcance limitado para la cuenta de servicio.
  2. Autentique el cliente ante el punto de conexión de tokens de su región mediante el método de autenticación de cliente proporcionado durante la configuración.
  3. Envíe el token de acceso resultante con sus solicitudes a la API. Obtenga un nuevo token antes de que venza el token actual.
OAuth añade a su integración la obtención de tokens y la gestión de su vencimiento. El secreto del cliente sigue requiriendo almacenamiento seguro y rotación; los tokens de corta duración no eliminan esa responsabilidad. Las credenciales de cliente no utilizan tokens de actualización: autentique de nuevo el cliente para obtener un nuevo token de acceso. El acceso mediante OAuth debe estar habilitado para su organización. Si no lo está, utilice una clave de API o póngase en contacto con el servicio de soporte de Living Security para plantear sus requisitos. Consulte Credenciales de cliente OAuth para conocer la creación de clientes, los secretos de un solo uso, la revocación y la recuperación.

​
Mantenga las credenciales en su backend

Las claves de API de las cuentas de servicio y los secretos de cliente OAuth deben almacenarse en un sistema de almacenamiento de secretos del lado del servidor. No los incluya en código de navegador, aplicaciones móviles, control de código fuente ni registros. Una credencial de cuenta de servicio actúa como la carga de trabajo; no inicia sesión de una persona ni proporciona un flujo de consentimiento del cliente. Utilice el host regional de la API correspondiente a su organización con cualquiera de los dos métodos. Cambiar de método de autenticación no modifica la URL del recurso, la versión de la API ni los permisos que requiere una operación.