Skip to main content
La API usa dos credenciales en cada petición: tu API key (header x-api-key) y tu Token TAPI (header x-authorization-token). Las dos son obligatorias: sin x-api-key la petición se rechaza con 403 y sin token con 401 (ver Errores de autenticación).

​
Las dos credenciales

​
string
requerido
La API key de tu integración en el API Gateway de Tapi. Te la provee Tapi y es distinta por ambiente (desarrollo, homologación, producción). Identifica a tu aplicación y controla el acceso al gateway.
​
string
requerido
Tu Token TAPI (un JWT), el mismo que ya utilizas con el resto de la plataforma de Tapi. Se envía sin el prefijo Bearer.
El token va en x-authorization-token, no en el estándar Authorization: Bearer, y sin el prefijo “Bearer”. Es un header propio de Tapi para mantener compatibilidad con el resto de la plataforma.

​
Cómo obtener tu Token TAPI

El Token TAPI (un JWT) se obtiene del login de Tapi, el mismo que ya usas en el resto de la plataforma. Envía tus credenciales y recibirás un accessToken:
La respuesta incluye el accessToken (tu Token TAPI) y un refreshToken:
El accessToken vence a las ~4 horas. Cuando expire, repite el login (o usa el refreshToken con el flujo estándar de Tapi). La x-api-key del login es la de tu integración y no es la misma que usas contra la API.

​
Prueba un endpoint

En el API Reference, abre cualquier endpoint y usa el botón Send:
  1. Elige el servidor en el selector.
  2. Pega tu x-api-key y tu x-authorization-token en los campos de autenticación.
  3. Completa los parámetros y presiona Send.
Tus credenciales quedan guardadas solo en tu navegador y se reutilizan en todos los endpoints.
Nunca compartas ni subas a un repositorio tu x-api-key ni tu token: son credenciales sensibles. En el playground viven solo en tu navegador; en curl, pásalas como variables de entorno.

​
Qué resuelve tu token por ti

A partir de tu token, Tapi identifica tu cuenta y resuelve internamente todo el modelo interno (company, modalities, etc.). Tú trabajas con conceptos de negocio claros y nunca necesitas enviar ni conocer esos datos internos.

​
Errores de autenticación

Los errores de autenticación los emite el API Gateway, antes de que la petición llegue a la API. Por eso no usan el envelope error ni traen requestId: el body es un objeto con un solo campo.
En el 403 por falta de permiso el campo viene con mayúscula (Message), no message. Tenlo en cuenta al tipar la respuesta. Una x-api-key faltante o inválida da 403, no 401.
El resto de los errores de la API sí siguen la forma estándar: un objeto error con code y message, más un requestId que puedes compartir con soporte para rastrear la petición. Ver Manejo de errores.

​
Token vencido

Si tu token venció, refréscalo con el mismo flujo que ya usas para el resto de la API de Tapi y reintenta la petición. La API no tiene un mecanismo de refresco propio: reutiliza el del ecosistema de Tapi.
Consejo: si usas un SDK de Tapi, los headers x-api-key y x-authorization-token ya vienen preconfigurados, así que no tienes que armarlos a mano.