Token Bearer
La mayoría de los endpoints del producto requieren:
Authorization: Bearer YOUR_TOKENLos tokens se crean en la aplicación: Cuenta → API.
Tipos de Token
| Prefijo | Tipo | Uso | Seguro para cliente |
|---|---|---|---|
po_sk_ | Clave del sistema | Integración servidor a servidor, acceso completo a la API | No |
po_ut_ | Token de usuario | Alcance del usuario — Conexión MCP; permisos según el usuario y la licencia | No |
po_gt_ | Token de grupo | Alcance del grupo — hereda los permisos y la lista blanca Workspace de un grupo de usuarios | No |
po_pk_ | Clave publicable | Navegador / AI-Canvas — no para MCP; origen definido por el propietario de la clave, con presupuesto limitado; permite APIs del producto | Sí |
Publishable Key — Modelo de seguridad
Una clave Publishable Key puede residir en el navegador. Todas las APIs del producto documentadas están permitidas. HTTP-DELETE, gestión de cuentas, gestión de claves, OAuth, mutación de pagos y cracking de contraseñas permanecen bloqueados. Cada solicitud requiere un origen que el propietario de la clave debe registrar él mismo; no se permiten hosts de Canvas preconfigurados. Un presupuesto vitalicio limita el consumo.
Creación en la aplicación: Cuenta → API → Clave publicable.
Modo VISITOR
Sin token, solo los endpoints de infraestructura son accesibles. Las APIs del producto, incluida la geolocalización y los tipos de cambio, requieren un Token Bearer.
| Endpoint | Función |
|---|---|
/docs/* | Especificación pública |
/health | Comprobación de salud de la API |
/ping | Prueba de conectividad |
Los endpoints de trabajos y procesamiento requieren un Token Bearer. Las sesiones VISITOR tienen Credits mínimo y límites estrictos de tasa. La falta de autenticación en una API del producto devuelve HTTP 403 TIER_RESTRICTED, no HTTP 401.