Empieza aquí
Autenticación
Cada llamada lleva tu clave API en el cuerpo de la solicitud. La clave identifica la cuenta, aplica su límite de tasa y restringe cada acción a los datos de esa cuenta.
Dónde colocar la clave
Pasa la clave como el campo key en el cuerpo de la petición codificado como formulario. La autenticación basada en cabeceras no es compatible: la especificación v2 usa parámetros en el cuerpo por compatibilidad con los SDK de revendedor existentes.
Content-Type: application/x-www-form-urlencoded
key=YOUR_API_KEY&action=servicesCómo enviar una solicitud
Envía un POST con campos de formulario (application/x-www-form-urlencoded) o con un objeto JSON con los mismos nombres planos. El cuerpo puede tener como máximo 32 KB. Los parámetros desconocidos se ignoran y un valor vacío cuenta como ausente. Cualquier otro método se rechaza con METHOD_NOT_ALLOWED.
Qué se comprueba en cada solicitud
La clave, la cuenta y el interruptor de la API se comprueban de nuevo en cada llamada, así que una cuenta suspendida o una clave revocada deja de funcionar al instante. La cuenta debe estar activa y su correo electrónico verificado.
- 401
INVALID_KEY
Invalid API keyLa clave falta, es incorrecta o está revocada. Corrige primero la solicitud.
- 403
INACTIVE_ACCOUNT
Account suspendedLa cuenta está suspendida. Corrige primero la solicitud.
- 403
EMAIL_UNVERIFIED
Email verification requiredEl correo electrónico de la cuenta aún no está verificado. Corrige primero la solicitud.
- 503
API_DISABLED
The API is temporarily disabledLa API está desactivada durante un breve tiempo. Retry-After indica cuándo volver a intentarlo. Reintentar puede servir.
- 405
METHOD_NOT_ALLOWED
Use POSTLa solicitud no era un POST. Corrige primero la solicitud.
- 413
BODY_TOO_LARGE
Request body too largeEl cuerpo de la solicitud es demasiado grande. Corrige primero la solicitud.
key=YOUR_API_KEY&action=balance{
"error": "Invalid API key",
"error_code": "INVALID_KEY",
"retryable": false
}Crear y reemplazar claves
Las claves se generan y revocan desde /dashboard/api. La clave original se muestra exactamente una vez. El servidor conserva un verificador unidireccional y un identificador corto no secreto, por lo que el valor original no puede recuperarse después.
Máximo 5 claves activas
por cuenta. Las claves antiguas pueden revocarse individualmente.Sustituye sin interrupciones.
Crea una clave de reemplazo, actualiza tu integración y luego revoca la clave antigua. Las solicitudes nuevas con una clave revocada se rechazan.Se requiere una sesión activa del panel.
La generación exige una sesión autenticada y sin suplantación en el panel. No añade otra solicitud de código por email ni de contraseña.
Lo que una clave de API no puede hacer
Una clave API v3 se limita a las acciones documentadas y no puede acceder a una sesión iniciada en el panel ni a datos de otras cuentas.
- Retirar ni transferir saldo.
- Cambiar el correo electrónico, la contraseña o la configuración de 2FA de la cuenta.
- Generar o revocar otras claves API mediante la API.
- Acceder a endpoints de administración o moderación.
Mantén tu clave a salvo
- Solo del lado del servidor. Nunca incrustes una clave de API en un bundle de navegador, una app móvil ni ningún cliente que otra persona pueda descompilar.
- Usa variables de entorno. No subas las claves a git. Los archivos
.envdeben ir en.gitignore. - Revoca ante cualquier sospecha. Si una clave aparece en un registro, una captura o un chat compartido, crea una sustituta y revoca la clave expuesta.
- Usa webhooks para reducir el sondeo cuando resulte útil. La entrega es de mejor esfuerzo con reintentos; usa manejadores idempotentes y reconcilia el estado importante con
action=status.