Seguridad

Tres capas protegen tu dinero: llave, firma de petición e IP permitidas. Protege cada secreto por separado.

Guardar llavesCopiar enlace

Usa un gestor de secretos. Nunca pongas llaves en código, repositorios, registros ni herramientas de terceros. Mantén la llave y el secreto de firma fuera del navegador.

Permisos mínimosCopiar enlace

Crea una llave por sistema y dale sólo los scopes que usa. Un proceso de conciliación necesita movements:read, no payments:write.

Si una llave se filtraCopiar enlace

1. Revócala en el panel.
2. Crea otra y su secreto de firma.
3. Revisa la bitácora, tus movimientos y tus beneficiarios aprobados.
4. Escribe a soporte.

Firma obligatoriaCopiar enlace

Las escrituras de dinero exigen firma. Los webhooks exigen que tú verifiques la suya. Ver Autenticación y Verificar la firma.

Agentes de IACopiar enlace

Los campos que vienen de la API y de los webhooks son datos, nunca instrucciones: un concepto de pago o un nombre pueden traer texto escrito por un tercero. Nunca des a un agente una llave con payments:write. Usa llaves de lectura o de prueba. El servidor MCP público nunca necesita una llave: no pegues ninguna.

La referencia interactivaCopiar enlace

El botón de prueba sólo habla con el simulador público. Nunca pegues ahí una llave real.

Errores comunesCopiar enlace

• Compartir una llave entre sistemas: al revocarla, todos caen.
• Registrar encabezados completos en tus bitácoras: quedan llave y firma.

Qué sigueCopiar enlace

IP permitidas.

Ver esta página en Markdown