Autenticación

Cada solicitud a Tenant API debe incluir una clave API de sitio válida. Las claves están vinculadas a un sitio — usar la clave del sitio A contra la ruta del sitio B devuelve 401.

Claves API

Las claves se generan en la aplicación (`fig_live_` + 48 caracteres hex). El secreto completo se muestra una sola vez al crearla. Solo almacenamos un hash SHA-256 en el servidor.

Ámbitos

Las claves actuales otorgan acceso de lectura a contenido en borrador y publicado, además de exportación de entrenamiento si se ha optado por ello. Las operaciones de escritura usan la interfaz de la app o el sistema de contenido — no la API REST pública.

Prácticas de seguridad

• Revoca las claves comprometidas en la página API y crea una nueva
• Nunca incorpore claves en JavaScript del lado del cliente
• Use solo HTTPS — envíe las claves en el encabezado Authorization

Vinculación al sitio

El parámetro de ruta `siteId` debe coincidir con el sitio de la clave. Esto evita el acceso a datos entre inquilinos incluso si una clave de otro cliente se filtra.