Autenticación y claves de API
Cada petición a la API pública, desde el SDK o por REST, lleva una clave de API como token de portador (bearer token):
Authorization: Bearer <api-key>
Crear una clave
Las claves de API se gestionan en Settings → Organization → API keys (app.requiply.com/settings/org/api-keys). Solo ven esta página los miembros con el rol Admin.
- Pulsa Create key (crear clave).
- Escribe un Name (nombre) que indique dónde se usa la clave, por ejemplo Web en Lovable o Sincronización con contabilidad.
- Elige el Type (tipo): Publishable (publicable) o Secret (secreta).
- Pulsa Create key y copia la clave del diálogo Save this key now (guarda esta clave ahora).
La tabla lista cada clave con su nombre, su tipo, una Key (clave) enmascarada (el prefijo y los cuatro últimos caracteres, suficiente para distinguir unas claves de otras), cuándo se creó y cuándo se usó por última vez (Last used). El lápiz cambia el nombre de una clave. El icono de prohibido la revoca: una clave revocada deja de funcionar al momento y no se puede recuperar. Activa Show revoked (mostrar revocadas) para ver las claves revocadas.
Elegir el tipo de clave
Clave publicable (rq_pk_…) | Clave secreta (rq_sk_…) | |
|---|---|---|
| Dónde se usa | Código del navegador, una web, una app móvil | Solo en código de servidor y variables de entorno |
| Información de la organización, catálogo, servicios | Sí | Sí |
| Disponibilidad y presupuestos | Sí | Sí |
| Reservas | Solo solicitudes de reserva (asRequest: true) | Crear, listar, leer, añadir notas |
| Productos en venta | Explorarlos y añadirlos a una solicitud de reserva, mientras la organización vende a los clientes | Todo lo de Ventas |
| Clientes, informes, estado del inventario, resumen de la organización | No | Sí |
| Productos de subalquiler de proveedores | Nunca | Cuando los subalquileres están activados |
| Ajustes del coste de la reserva, reservas fuera del horario | No | Sí |
La lista completa por endpoint está en la referencia de la API REST.
Claves publicables
Una clave publicable la puede ver cualquiera que abra el código fuente de tu página, y la API la acepta desde cualquier origen. Lo que la mantiene segura es su alcance: lee el catálogo, calcula presupuestos y envía solicitudes de reserva que el personal aprueba en la app. Nunca ve las fichas de clientes ni los informes, nunca bloquea inventario por su cuenta y no puede comprar productos por encima del stock disponible. Si alguien abusa de una clave, revócala y crea una nueva.
const requiply = new RequiplyClient({ apiKey: 'rq_pk_live_...' });
Claves secretas
Una clave secreta actúa en nombre de toda la organización, no de un miembro de tu equipo. Guárdala en código de servidor y en variables de entorno:
REQUIPLY_SECRET_KEY=rq_sk_live_...
const requiply = new RequiplyClient({
apiKey: process.env.REQUIPLY_SECRET_KEY!,
});
NEXT_PUBLIC_… o NUXT_PUBLIC_….El SDK rechaza una clave rq_sk_ en un navegador. Tiene una opción dangerouslyAllowSecretKeyInBrowser para herramientas locales que las integraciones en producción nunca deben activar.
Límites de peticiones
Cada clave puede hacer 100 peticiones por minuto. Las peticiones que superan ese límite reciben un 429 con una cabecera Retry-After en segundos, que el SDK expone como RequiplyError.retryAfter. Los navegadores no pueden leer esa cabecera entre orígenes distintos, así que una tienda online debe esperar unos segundos antes de reintentar. Consulta Gestión de errores.
Peticiones entre orígenes
La API pública responde a peticiones desde cualquier origen, así que no hay que registrar ningún dominio. Los navegadores pueden enviar las cabeceras Authorization, Accept y Content-Type; una petición entre orígenes con cualquier otra cabecera personalizada se bloquea antes de llegar a Requiply.
Sin modo de prueba
Todas las claves trabajan con datos reales. Para documentación interactiva y demos, usa una clave publicable de una organización de demostración, y dirige todo lo que cree reservas o ventas a una organización cuyos registros puedas eliminar.
Agentes de IA y MCP
La misma clave secreta también da acceso al servidor MCP de Requiply a un agente que crees tú. Envíala como token de portador a https://api.requiply.com/api/mcp. El agente obtiene las herramientas de toda la organización que permite una clave secreta; las escrituras siguen pasando por el paso de vista previa y confirmación que se describe en esa página. Asistentes como Claude y ChatGPT se conectan con OAuth y no necesitan ninguna clave. Las claves publicables no dan acceso al servidor MCP.