Autenticación

Todas las operaciones usan autenticación HTTP Bearer. Cada API key pertenece a una única tienda y determina el aislamiento de datos para productos, categorías, órdenes, carritos y webhooks.

Authorization: Bearer <token>

Cómo obtener una API key

1. Iniciá sesión en el administrador de la tienda.
2. Abrí /admin/configuracion/api?tab=credenciales.
3. Verificá que tu usuario tenga el permiso api.manage.
4. Ingresá un nombre descriptivo para identificar el uso del token.
5. Seleccioná únicamente los scopes necesarios.
6. Creá el token.
7. Copialo inmediatamente y guardalo en un gestor de secretos.

La API está disponible desde el plan Pro o cuando la tienda tiene habilitada la capacidad correspondiente. La cantidad de tokens, los scopes disponibles y el nivel de API dependen del plan; consultá planes y niveles de API sin asumir límites o prestaciones adicionales.

El token se muestra una sola vez

Los tokens tienen el prefijo wsk_live_. Al crearlo, el valor completo aparece una única vez. Después de cerrar el aviso no puede recuperarse: el administrador muestra solamente su prefijo, nombre, scopes, fecha y último uso.

Wendo almacena un hash del token, no un valor recuperable. Si perdés la credencial, creá una nueva y revocá la anterior si todavía está activa.

Usar la API key

Enviá el token desde un entorno de servidor en la cabecera Authorization:

curl --request GET \
  --url 'https://store.example.com/api/v1/productos?limit=10&offset=0' \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <token>'

No incluyas una credencial real en ejemplos, URLs ni código que se ejecute en el navegador.

Revocar una API key

El seller puede revocar un token desde /admin/configuracion/api?tab=credenciales. Los nuevos requests hechos con ese token dejan de autenticarse y deben tratar una respuesta 401 Unauthorized como una credencial inválida, ausente o revocada.

La revocación es irreversible: no existe una forma de restaurar el mismo token. Consultá la guía de errores para distinguir un 401 de un 403 por permisos o plan.

Rotación segura

Wendo no ofrece una operación automática de «rotar conservando el mismo token». Para reemplazar una credencial:

1. Creá un token nuevo con los scopes mínimos necesarios.
2. Actualizá la integración externa para usarlo.
3. Probá el token nuevo.
4. Revocá el token anterior.

Si el plan permite varios tokens activos, el reemplazo puede hacerse sin interrupción. Si ya alcanzaste el límite de tokens del plan, coordiná una ventana breve, revocá el anterior y creá el nuevo. Nunca reutilices el token anterior.

La creación, rotación y revocación de tokens se administra solamente desde la interfaz indicada; no se documentan endpoints administrativos privados.

Manejo seguro

• Guardá la API key solo en un entorno de servidor o gestor de secretos.
• No la persistás en el frontend, localStorage, variables PUBLIC_*, repositorios ni logs.
• No la envíes a este sitio de documentación: la referencia está configurada en modo de solo lectura.
• Evitá imprimir la cabecera Authorization o cuerpos que puedan contener secretos.

Precaución

Las variables PUBLIC_* de Astro son públicas. PUBLIC_API_SPEC_URL contiene únicamente la URL pública del contrato; nunca agregues una API key en una variable con ese prefijo.

Respuestas relacionadas

• 401 Unauthorized: token inválido, revocado, ausente o sin acceso vigente a la API.
• 403 Forbidden: el plan o los scopes del token no permiten ejecutar la operación.

{
  "error": "Unauthorized",
  "message": "API key inválida o no proporcionada"
}

Para credenciales usadas al registrar receptores, continuá con la guía de webhooks.