Configuración
Claves API
Volver a configuracionVolver

Claves API

Las claves API permiten que tus sistemas externos (CRM, plataforma de comercio electrónico, call center, aplicaciones móviles) se comuniquen con DPOLab de forma segura, sin necesitar las credenciales de un usuario. Se usan principalmente para registrar consentimientos desde sistemas externos.

Ruta de acceso: Menú lateral → Configuración → Claves API

Vista de claves API

⚠️

Las claves API no están disponibles en el plan Starter. Requieres al menos el plan Professional para crear claves API.

Disponibilidad por plan

PlanClaves API máximas
StarterNo disponible
Professional3
Business10
EnterpriseSin límite

Permisos (scopes) disponibles

Cada clave API tiene uno o más permisos que definen qué operaciones puede realizar:

PermisoDescripción
consent:readLeer registros de consentimiento y configuración del módulo de consentimiento
consent:writeRegistrar nuevos consentimientos y actualizarlos
*Acceso completo (equivale a todos los permisos disponibles)

El permiso * (acceso completo) debe usarse solo en integraciones de servidor totalmente controladas por tu equipo. Para integraciones desde dispositivos o aplicaciones cliente, usa siempre el permiso mínimo necesario.

Crear una clave API

Accede a Configuración → Claves API

Solo los usuarios con rol Propietario o Administrador pueden crear claves API.

Haz clic en "Nueva API Key"

Completa el formulario con los datos de la integración.

Formulario para crear una clave API

  • Nombre: un nombre descriptivo para identificar la integración (ej. "CRM Salesforce", "App móvil iOS").
  • Permisos: selecciona los permisos necesarios.
  • Límite de solicitudes (por minuto): solicitudes por minuto permitidas (entre 1 y 1.000, por defecto 60).
  • Fecha de expiración: opcional. Si no se define, la clave no expira.

Copia la clave generada

Al crear la clave, el sistema muestra el valor completo una sola vez. Cópiala y guárdala en un gestor de secretos (por ejemplo, en las variables de entorno de tu servidor). No es posible recuperarla después.

🚫

La clave completa se muestra una única vez, en el momento de creación. Si la pierdes, debes revocar la clave y crear una nueva. DPOLab almacena solo una huella criptográfica de la clave, no el valor original.

Formato de la clave

Las claves API de DPOLab tienen el formato:

dk_<64 caracteres hexadecimales>

Ejemplo (ficticio — los caracteres reales son aleatorios):

dk_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

En la lista de claves API, solo se muestra el prefijo (primeros caracteres seguidos de ...) para identificar la clave sin exponer el secreto completo.

Autenticar solicitudes con una clave API

Incluye la clave API en el encabezado Authorization de cada solicitud HTTP:

Authorization: Bearer dk_<tu-clave-completa>

Ejemplo: registrar un consentimiento desde un sistema externo

curl -X POST https://api.dpolab.com/api/v1/consent/record \
  -H "Authorization: Bearer dk_xxxxxxxxxxx..." \
  -H "Content-Type: application/json" \
  -d '{
    "noticeId": "plantilla-newsletter",
    "subject": {
      "email": "[email protected]",
      "ref": "crm-id-12345"
    },
    "choices": {
      "marketing": true,
      "analytics": false
    },
    "action": "GIVEN"
  }'

El sistema aplica un límite de solicitudes por clave API. Si superas el límite configurado, recibirás una respuesta de error 429 Too Many Requests. Ajusta el límite según el volumen esperado de tu integración.

Rotar una clave API

Rotar una clave significa crear una nueva y revocar la anterior. El flujo recomendado es:

  1. Crea una nueva clave API con los mismos permisos.
  2. Actualiza la clave en tus sistemas externos.
  3. Verifica que la nueva clave funciona correctamente.
  4. Revoca la clave anterior desde el menú de opciones de la lista.

Desactivar y revocar una clave API

  • Desactivar: la clave deja de funcionar inmediatamente pero permanece en la lista. Útil para pausar temporalmente una integración.
  • Revocar (eliminar): elimina la clave definitivamente. No se puede recuperar.

Para desactivar o revocar, haz clic en el menú (⋯) junto a la clave y selecciona la opción correspondiente.

Buenas prácticas de seguridad

  • Nunca incluyas la clave API en código fuente ni la subas a un repositorio. Usa variables de entorno o gestores de secretos.
  • Usa el permiso mínimo necesario. Si solo necesitas registrar consentimientos, usa consent:write, no el permiso de acceso completo.
  • Define una fecha de expiración para claves de proyectos temporales o integraciones de terceros.
  • Revisa periódicamente las claves que no han sido utilizadas recientemente y evalúa revocarlas.
  • Rota las claves periódicamente, especialmente después de cambios en el equipo de desarrollo.

Ver también: Módulo de Consentimiento (CMP) · Referencia de la API

Usuarios y rolesNotificaciones por correo