Skip to main content
Sorsa API utiliza claves de API para autenticar solicitudes. Tu clave da acceso completo a tu cuenta y a tu cuota, así que trátala como una contraseña.

​
Cómo funciona la autenticación

Cada solicitud a Sorsa API debe incluir tu clave en el encabezado ApiKey. Los nombres de los encabezados HTTP no distinguen entre mayúsculas y minúsculas; utiliza la forma indicada aquí y conserva exactamente el valor de la clave.
Si falta el encabezado, su nombre es incorrecto o contiene una clave no válida, la API devuelve un error. Consulta Solución de problemas. Ejemplo de solicitud
Para endpoints POST, incluye también el encabezado Content-Type:
Consejo: puedes probar tu clave sin escribir código en API Playground.

​
Requisitos de las solicitudes

Cada llamada a la API debe cumplir lo siguiente: Solo HTTPS. Todas las solicitudes deben utilizar https://. Las solicitudes HTTP sin cifrar se rechazan. Encabezado ApiKey. Obligatorio en cada solicitud. No se utilizan OAuth, tokens bearer ni autenticación mediante parámetros de consulta. Encabezado Content-Type. Obligatorio en solicitudes POST. Establécelo en application/json y envía los parámetros en un cuerpo JSON. Métodos HTTP. Los endpoints utilizan GET o POST según la operación. La referencia de la API indica el método de cada uno.

​
Gestión de tus claves de API

Encuentra tu clave. Tu clave activa aparece en la página principal del panel. Las cuentas nuevas incluyen 100 solicitudes gratuitas: puedes usar tu primera clave de inmediato sin registrar una tarjeta. Crea o elimina claves. Para generar una clave o revocar una existente, abre la sección API Keys del panel. Supervisa el consumo. Consulta el historial de solicitudes y la cuota restante en Usage stats o mediante el endpoint GET /key-usage-info.
Importante: al eliminar o sustituir una clave, las aplicaciones que sigan utilizando la anterior recibirán inmediatamente errores 401 Unauthorized. Actualiza las integraciones antes de revocarla.

​
Buenas prácticas de seguridad

Nunca expongas la clave en código del cliente. No llames directamente a Sorsa API desde navegadores, aplicaciones móviles ni otros entornos frontend. La clave quedaría visible en las herramientas de desarrollo del navegador, los registros de red y el código fuente. Envía siempre las solicitudes a través de tu propio servidor backend. Utiliza variables de entorno. Guarda la clave en archivos .env o en el gestor de secretos de tu plataforma (AWS Secrets Manager, Vercel Environment Variables, Railway Variables u otro similar). No la escribas directamente en el código fuente. Excluye las claves del control de versiones. Añade .env a .gitignore. Nunca incluyas claves de API en repositorios públicos ni privados de GitHub, GitLab o Bitbucket. Sustituye de inmediato las claves expuestas. Si publicas una clave por accidente en un commit, una captura o un foro, abre API Keys, elimina la clave comprometida y genera una nueva. La anterior dejará de funcionar inmediatamente.

​
Solución de problemas

401 Unauthorized Falta el encabezado ApiKey, su nombre es incorrecto o la clave fue eliminada o nunca fue válida. Comprueba que el nombre sea ApiKey, no Api-Key ni Authorization. 403 Forbidden La clave es válida, pero tu suscripción ha caducado o has agotado la cuota mensual. Consulta el saldo en el panel o mediante GET /key-usage-info. 429 Too Many Requests Estás enviando solicitudes por encima del límite: 20 por segundo en todos los planes. Añade una breve espera entre llamadas y reintenta. Consulta Límites de solicitudes para conocer los detalles y las estrategias de reintento. Errores CORS en el navegador Si aparecen errores de CORS, probablemente estás llamando a la API desde JavaScript del frontend. Sorsa API está diseñada para utilizarse desde el servidor. Traslada las llamadas a un servicio backend o a una función serverless.

​
Próximos pasos