Desarrolladores
API Keys
Crea API Keys para la API REST, configura Scopes y periodos de validez, y gestiona su rotación o revocación.
Una API Key autoriza a tus scripts y servicios backend a interactuar con la API REST en tu nombre, restringida a los Scopes seleccionados. Las claves se gestionan en Cuenta › API Keys.
Crear una API Key
Abrir API Keys
Accede a Cuenta › API Keys y pulsa en Crear clave.
Asignar un nombre
Indica un Nombre descriptivo para identificar el script, servidor o integración que la utilizará.
Seleccionar Scopes
En Scopes, define permisos de lectura o escritura por área de recursos. Aplica el principio de mínimo privilegio.
Definir expiración
En Expira, selecciona un periodo de validez en días o marca Nunca. Las claves expiradas se rechazan de inmediato.
Copiar la clave
Pulsa Crear clave. La clave en texto plano se muestra una sola vez. Cópiala y guárdala en un gestor seguro de secretos o variables de entorno antes de cerrar la ventana.
Las claves comienzan con el prefijo del proyecto seguido de _sk_, facilitando su detección en herramientas de análisis estático y escaneo de secretos.
Scopes
| Dominio | Lectura | Escritura |
|---|---|---|
| Profile | profile:read: nombre, email, avatar | profile:write: modificar nombre y avatar |
| Credits | credits:read: saldo e historial | No disponible |
| Generations | generations:read: estado y salidas | generations:write: iniciar generaciones que usan créditos |
| Creations | creations:read: creaciones guardadas | creations:write: compartir, despublicar y eliminar |
| Uploads | uploads:read: archivos subidos | uploads:write: subir nuevos archivos |
| Billing | billing:read: pedidos y suscripción | billing:write: iniciar compras de paquetes de créditos |
| Support | support:read: tus solicitudes | support:write: enviar solicitudes |
| Webhooks | webhooks:read: endpoints y entregas | webhooks:write: gestionar endpoints |
generations:write consume créditos
Una clave con generations:write puede iniciar Generation Jobs y consumir
créditos de tu cuenta. Limita su uso a entornos backend seguros.
billing:write solo puede iniciar un checkout (o un cambio en una suscripción existente): devuelve una URL que requiere confirmación manual del usuario. Ninguna API Key puede completar un cobro de forma autónoma.
Autenticación
Envía la clave en la cabecera HTTP Authorization como token bearer:
curl https://ximagesplitter.com/api/v1/credits/balance \
-H "Authorization: Bearer $API_KEY"Una clave ausente, no reconocida, expirada o revocada devuelve un error 401 Unauthorized. Una clave sin el Scope requerido devuelve 403 Forbidden (insufficient_scope). Las API Keys solo funcionan con la API REST; los clientes de MCP deben usar OAuth 2.1.
Rotación y revocación
El listado detalla los Scopes asignados a cada clave, su fecha de caducidad y cuándo fue Usada por última vez.
- Rotar: genera una nueva clave con idénticos metadatos y Scopes mientras revoca la clave anterior de forma inmediata. Actualiza tus variables de entorno al instante.
- Revocar: desactiva la clave permanentemente. Cualquier petición posterior fallará de inmediato.
Rota una clave si sospechas que ha quedado expuesta y revoca aquellas que ya no utilices.
Buenas prácticas de seguridad
- Nunca expongas API Keys en código cliente, aplicaciones móviles ni repositorios públicos.
- Asigna una clave independiente por cada servicio para permitir revocaciones individuales.
- Prioriza claves con caducidad explícita y limita los permisos a Scopes de solo lectura cuando sea suficiente.
- Las API Keys solo pueden crearse y gestionarse desde la interfaz de cuenta autenticada, nunca mediante la propia API.