Autenticación

Una sola credencial: el header X-API-Key, en cada request.

curl "https://api.turbodato.com/v1/status" \
  -H "X-API-Key: $TURBODATO_API_KEY"

Crear y revocar keysCopiar link a esta sección

Las keys se crean en Configuración → API → Crear API key. Cualquier persona del equipo puede crear las suyas. Cada una ve y revoca las que creó; quien administra la organización ve y revoca todas.

Creá una key por integración: el ERP, el BI y el script de alertas, cada uno con la suya. Así revocar una no corta las demás, y en Configuración → API ves cuándo se usó cada una por última vez.

Qué ve una keyCopiar link a esta sección

Una key ve lo mismo que la persona que la creó, ni más ni menos:

• Los mismos tableros. Si quien la creó tiene acceso a dos de los cinco tableros de la organización, /clients devuelve esos dos.
• Los mismos productos. Si esa persona tiene el catálogo recortado (por ejemplo, sólo una marca), la key también. /status, /filters, /data, /semaphore, /price-control y /export cuentan y devuelven sólo ese recorte.
• Si la persona deja la organización, sus keys dejan de funcionar. Si una integración tiene que sobrevivir a cambios de equipo, que la cree quien vaya a quedar a cargo de ella.

Cuando a quien creó la key le sacan un tablero, la key lo pierde en el momento. Cuando le suman uno, puede tardar hasta un minuto en aparecer.

FavoritosCopiar link a esta sección

Una key no es una persona, así que favorites=true y el campo isFavorite significan "marcado con estrella por alguien del equipo". No hay forma de pedir los favoritos de una persona puntual por API.

clientIdCopiar link a esta sección

Todos los endpoints salvo /clients trabajan sobre un tablero:

• Con un solo tablero, omití clientId: la API usa ése.
• Con dos o más, es obligatorio. Sin él la respuesta es 400. Los IDs salen de /clients.
• Con un ID que no es de tus tableros, o que no tiene forma de ID, la respuesta es 403.

?clientId= vacío cuenta como no mandarlo.

Buenas prácticasCopiar link a esta sección

• Guardala en una variable de entorno o en el gestor de secretos de tu nube. Nunca en el repositorio.
• No la pongas en código que corre en el navegador ni en una app móvil: cualquiera que abra las herramientas de desarrollo se la lleva.
• No la pegues en un ticket, un mail o un chat. Si pasó, revocala y creá otra.
• Si una integración se discontinúa, revocá su key en vez de dejarla viva.