Claves y modos

Cada clave pertenece a una tienda y a un modo (de prueba o real). Créalas y gestiónalas en Studio → Desarrolladores → Claves de API. La clave completa se muestra una sola vez; nosotros solo guardamos un hash.

Tres tipos de clave

Tipo	Prefijo	Dónde va	Qué puede hacer
Publicable	pk_test_… / pk_live_…	Tus páginas web y tus apps	Mostrar la guía de tallas, abrir la ventana, leer la talla recomendada de quien compra. Solo funciona desde los orígenes que registres
Secreta	sk_test_… / sk_live_…	Solo tu servidor	Todos los permisos de servidor de su tienda
Restringida	rk_test_… / rk_live_…	El servidor de un partner (plataforma de devoluciones, PLM, BI)	Solo los permisos que elijas

Nunca pongas una clave secreta o restringida en una página o en una app. Si lo intentas, el SDK web lanza secret_key_in_browser y los SDK móviles lanzan secret_key_in_app.

Modo de prueba y modo real

El modo es de la clave: una petición hecha con una clave de prueba es una petición de prueba.

	Prueba	Real
Orígenes	Los orígenes que añadas para el modo de prueba, más localhost	Solo orígenes cubiertos por un dominio verificado
Prendas que responden	Borradores y versiones publicadas (el equipo de diseño puede revisarlas antes de publicar)	Solo versiones publicadas
Clientes	Pueden iniciar sesión cuentas reales; la ventana muestra una banda “MODO DE PRUEBA”	Clientes reales
Facturación	Nunca se mide	Se miden las pruebas de tallaje
Límites	1.000 pruebas de tallaje al día por tienda	Según el plan
Analítica, A/B, webhooks	Separados del modo real	Modo real

El catálogo es compartido por ambos modos: no mantienes dos catálogos. El modo de prueba responde con borradores y el modo real con versiones publicadas, así que un borrador nunca llega a clientes reales.

Permisos de las claves

Una clave secreta tiene todos los permisos. Una clave restringida solo tiene los permisos con los que se creó; una llamada fuera de ellos responde 403 forbidden. Cada operación de la referencia de la API indica sus Key scopes (permisos de clave).

Permiso	Permite
products:read	Listar y leer productos, mapas de tallas, prendas y grupos de tallaje
products:write	Crear y actualizar productos, mapas de tallas y grupos de tallaje
garments:write	Crear y editar borradores de prendas
garments:publish	Publicar una versión de prenda (es la que se simula para los clientes)
orders:write	POST /v1/orders
returns:write	POST /v1/returns
fit_checks:read	POST /v1/recommendations (recomendaciones en el servidor)
audit:read	GET /v1/audit_events
analytics:read, webhooks:manage	Reservados para endpoints de servidor que llegarán pronto

Orígenes

Una clave publicable solo funciona en los sitios que registres para ella, por tienda y modo, en Studio → Ajustes → Tiendas → Sitios permitidos.

• Solo orígenes https://, sin ruta. http:// solo para localhost, en modo de prueba.
• https://*.brand.com incluye los subdominios (no el dominio raíz brand.com).
• Los orígenes en modo real deben estar cubiertos por un dominio verificado. Un dominio raíz verificado cubre sus subdominios.
• Hasta 50 orígenes por modo.
• Las apps registran un origen de app: ios-app://<bundle id> o android-app://<package> (en minúsculas). Por ahora los orígenes de app solo se aceptan en modo de prueba; el modo real para apps necesita verificar la app, algo que llegará pronto.

Rotar y revocar claves

• Rota una clave para sustituirla sin cortes. La nueva clave tiene el mismo tipo, modo, nombre y permisos. Elige cuánto tiempo sigue funcionando la anterior: now, 1h, 24h o 7d. Pasado ese tiempo responde 401.
• Revocar detiene una clave al instante.
• Crear, rotar o revocar una clave secreta o restringida de modo real te pide volver a iniciar sesión.
• Hasta 20 claves activas por tienda y modo.
• Cada clave muestra cuándo se usó por última vez (se actualiza como mucho una vez por minuto). Cada cambio queda en tu registro de auditoría.

Lista de IP permitidas

Las claves secretas y restringidas se pueden limitar a una lista de direcciones IP; se rechaza cualquier llamada desde otra dirección. La pantalla de Studio para configurarlo llegará pronto: mientras tanto, pide a soporte que la configure.

Límites de peticiones

Consulta Rate limits (en inglés).