> ## Documentation Index
> Fetch the complete documentation index at: https://docs.stockshift.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticación

> Envía una clave de API o un token de acceso OAuth como token bearer en cada llamada.

Envía un token bearer en el encabezado `Authorization` en cada llamada:

```http theme={null}
GET /api/v1/catalog/items HTTP/1.1
Host: app.stockshift.io
Authorization: Bearer 7|Zc1q...
Accept: application/json
```

Algunos endpoints, como el inicio de sesión de las apps móviles, no reciben token, y sus entradas en la referencia de la API lo indican.

Hay dos tipos de token. Una vez que llegan, la API los trata igual.

| Token | Para | De dónde sale |
| - | - | - |
| Clave de API | Tus propios scripts e integraciones de servidor a servidor | Un miembro la crea en la app |
| Token de acceso OAuth | Apps que otras personas conectan a su cuenta de StockShift | Tu app ejecuta el [flujo OAuth](https://docs.stockshift.io/es/guides/oauth-apps.md) |

## Claves de API

**Configuración > Acceso > Claves de API** muestra las claves de la organización con su nombre, propietario, alcances, cuándo se crearon, cuándo vencen y cuándo se usaron por última vez.

Para crear una, presiona **Nueva clave de API**, ponle un nombre, elige una fecha de vencimiento (o ninguna) y marca los alcances que necesita. Copia la clave cuando se muestre, porque nunca se vuelve a mostrar. Las claves con vencimiento son más seguras.

Una clave pertenece al miembro que la creó y a la organización en la que se creó:

* Nunca puede hacer más de lo que puede ese miembro. Cada llamada necesita tanto el permiso del miembro como uno de los alcances de la clave. Consulta [Permisos y alcances](https://docs.stockshift.io/es/guides/permissions-and-scopes.md).
* No puede llegar a ninguna otra organización.
* Si el miembro sale de la organización, la clave deja de funcionar.

Presiona **Revocar** para detener una clave de inmediato. A partir de ese momento, todo lo que la use recibe `401`, y la clave sigue en la lista marcada como revocada.

## Cuando un token falla

| Estado | `code` | Motivo |
| - | - | - |
| `401` | `unauthenticated` | No hay token, o el token venció o fue revocado. |
| `403` | `forbidden` | Al miembro le falta el permiso o al token le falta el alcance. |

Mantén las claves fuera del control de versiones y del código del lado del cliente. Cárgalas desde tu almacén de secretos o desde el entorno, como hacen los ejemplos de esta documentación con `STOCKSHIFT_TOKEN`.


## Related topics

- [.NET](https://docs.stockshift.io/es/sdks/dotnet.md)
- [Go](https://docs.stockshift.io/es/sdks/go.md)
- [PHP](https://docs.stockshift.io/es/sdks/php.md)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.