Autenticación

Credenciales PMS: formato, entornos, almacenamiento seguro, rotación y revocación.

Todas las solicitudes excepto GET /v1/health llevan tu credencial PMS como token Bearer:

GET /v1/me HTTP/1.1
Host: staging.api.tatallo.com
Authorization: Bearer tat_stg_sk_<credential-id>_<secret>

No hay intercambio de tokens ni nada que renovar: la clave es la credencial. Una clave puede tener una fecha de caducidad, que Tatallo te comunica cuando la emite.

​

Formato de la clave y entornos

Una credencial PMS es una cadena opaca emitida por Tatallo. Su prefijo indica el entorno al que pertenece:

Prefijo	Entorno	URL base
tat_stg_sk_	Staging	https://staging.api.tatallo.com
tat_live_sk_	Producción	https://api.tatallo.com

Una clave solo funciona en su propio entorno. Una clave de staging enviada a producción recibe 401, y lo mismo una clave de producción enviada a staging, así el tráfico de prueba nunca puede alcanzar datos reales. Trata el resto de la clave como opaca: no la analices.

​

Guarda las claves en tus servidores

• Llama a la API PMS de Tatallo solo de servidor a servidor. No envíes nunca una clave a un navegador, una aplicación móvil ni ningún otro cliente.
• Guarda las claves en tu gestor de secretos, no en el código fuente ni en archivos de configuración.
• No escribas nunca una clave en los logs, ni la cabecera Authorization. GET /v1/me nunca devuelve un secreto, así que escribir su respuesta en los logs es seguro.
• Si una clave puede haberse filtrado, avisa de inmediato a [e-mail]. Tatallo la revoca de inmediato.

​

Rotación y revocación

Pide a [e-mail] que rote una clave. Tatallo emite primero la clave nueva, mediante un enlace secreto de un solo uso. Pasas tus servidores a esa clave y Tatallo revoca la antigua solo cuando ve llamadas con la nueva, de modo que no hay interrupción.

Una clave revocada o caducada recibe 401 en su siguiente solicitud.

​

¿401 o 403?

Estado	Código	Qué significa	Qué hacer
401	unauthorized	La clave falta, está mal formada, es del otro entorno, ha caducado o está revocada. Todos estos casos reciben la misma respuesta, a propósito.	Comprueba la cabecera, el prefijo frente a la URL base y que la clave esté vigente.
403	insufficient_scope	La clave es válida, pero no tiene el scope que exige la ruta (properties:read para las propiedades).	Pide una clave con ese scope.

GET /v1/me muestra los scopes de la clave que estás usando.