Autenticación

Crear una clave de API

1. 1. Inicia sesión en tu Espacio de trabajo en sopflow.io.
2. 2. Ve a Configuración → Claves de API.
3. 3. Haz clic en Crear clave de API, asígnale un nombre y guarda.
4. 4. Copia la clave — solo se muestra una vez. Guárdala en un gestor de secretos o variable de entorno.

La creación de claves de API requiere el plan Pro o superior.

Enviar el token

Incluye la clave en el encabezado Authorization de cada solicitud:

curl https://sopflow.io/api/v1/organization \
  -H "Authorization: Bearer sk_live_YOUR_KEY"

Alcances

Cada clave tiene uno o más alcances. read cubre todos los GET; write se requiere para POST / PATCH / DELETE. Selecciona los alcances cuando crees la clave en Configuración → Claves de API — los alcances se asignan a la clave y no se pueden ampliar después. Un 403 con insufficient_scope significa que la clave no tiene permiso para realizar esta acción.

Función auxiliar reutilizable

Un envoltorio simple mantiene la lógica de autenticación en un solo lugar en tu base de código:

// Reusable helper for all endpoints
async function sopflow(path, opts = {}) {
  const KEY = process.env.SOPFLOW_API_KEY; // store in env, never in source
  const res = await fetch(`https://sopflow.io/api/v1${path}`, {
    ...opts,
    headers: {
      Authorization: `Bearer ${KEY}`,
      "Content-Type": "application/json",
      ...opts.headers,
    },
  });
  const body = await res.json();
  if (!res.ok) throw new Error(body.error ?? "API error");
  return body.data;
}

// Usage
const org   = await sopflow("/organization");
const nodes = await sopflow("/nodes?limit=50");

Mejores prácticas de seguridad

• Nunca confirmes claves en el control de fuente. Usa variables de entorno o un gestor de secretos (AWS Secrets Manager, HashiCorp Vault, Doppler).
• Nunca registres el valor de la clave. Registra el nombre o ID de la clave en su lugar. Si una clave aparece en un registro, rótala inmediatamente.
• Rota regularmente. Ve a Configuración → Claves de API, crea una clave nueva, actualiza tu integración y luego revoca la antigua.
• Usa solo HTTPS. Las solicitudes HTTP se rechazan en la capa de transporte.