> ## Documentation Index
> Fetch the complete documentation index at: https://docs.sorsa.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticación

Sorsa API utiliza claves de API para autenticar solicitudes. Tu clave da acceso completo a tu cuenta y a tu cuota, así que trátala como una contraseña.

***

## Cómo funciona la autenticación

Cada solicitud a Sorsa API debe incluir tu clave en el encabezado `ApiKey`. Los nombres de los encabezados HTTP no distinguen entre mayúsculas y minúsculas; utiliza la forma indicada aquí y conserva exactamente el valor de la clave.

```text theme={null}
ApiKey: your_api_key_here
```

Si falta el encabezado, su nombre es incorrecto o contiene una clave no válida, la API devuelve un error. Consulta [Solución de problemas](#solución-de-problemas).

**Ejemplo de solicitud**

```bash theme={null}
curl --request GET \
  --url 'https://api.sorsa.io/v3/info?username=elonmusk' \
  --header 'ApiKey: YOUR_API_KEY'
```

**Para endpoints POST**, incluye también el encabezado `Content-Type`:

```bash theme={null}
curl --request POST \
  --url 'https://api.sorsa.io/v3/search-tweets' \
  --header 'ApiKey: YOUR_API_KEY' \
  --header 'Content-Type: application/json' \
  --data '{"query": "bitcoin", "order": "popular"}'
```

> **Consejo:** puedes probar tu clave sin escribir código en [API Playground](https://api.sorsa.io/playground).

***

## Requisitos de las solicitudes

Cada llamada a la API debe cumplir lo siguiente:

**Solo HTTPS.** Todas las solicitudes deben utilizar `https://`. Las solicitudes HTTP sin cifrar se rechazan.

**Encabezado ApiKey.** Obligatorio en cada solicitud. No se utilizan OAuth, tokens bearer ni autenticación mediante parámetros de consulta.

**Encabezado Content-Type.** Obligatorio en solicitudes POST. Establécelo en `application/json` y envía los parámetros en un cuerpo JSON.

**Métodos HTTP.** Los endpoints utilizan GET o POST según la operación. La [referencia de la API](https://docs.sorsa.io/es/api-reference-guide) indica el método de cada uno.

***

## Gestión de tus claves de API

**Encuentra tu clave.** Tu clave activa aparece en la [página principal del panel](https://api.sorsa.io/overview). Las cuentas nuevas incluyen 100 solicitudes gratuitas: puedes usar tu primera clave de inmediato sin registrar una tarjeta.

**Crea o elimina claves.** Para generar una clave o revocar una existente, abre la sección [API Keys](https://api.sorsa.io/overview/keys) del panel.

**Supervisa el consumo.** Consulta el historial de solicitudes y la cuota restante en [Usage stats](https://api.sorsa.io/overview/usage) o mediante el endpoint `GET /key-usage-info`.

> **Importante:** al eliminar o sustituir una clave, las aplicaciones que sigan utilizando la anterior recibirán inmediatamente errores `401 Unauthorized`. Actualiza las integraciones antes de revocarla.

***

## Buenas prácticas de seguridad

**Nunca expongas la clave en código del cliente.** No llames directamente a Sorsa API desde navegadores, aplicaciones móviles ni otros entornos frontend. La clave quedaría visible en las herramientas de desarrollo del navegador, los registros de red y el código fuente. Envía siempre las solicitudes a través de tu propio servidor backend.

**Utiliza variables de entorno.** Guarda la clave en archivos `.env` o en el gestor de secretos de tu plataforma (AWS Secrets Manager, Vercel Environment Variables, Railway Variables u otro similar). No la escribas directamente en el código fuente.

**Excluye las claves del control de versiones.** Añade `.env` a `.gitignore`. Nunca incluyas claves de API en repositorios públicos ni privados de GitHub, GitLab o Bitbucket.

**Sustituye de inmediato las claves expuestas.** Si publicas una clave por accidente en un commit, una captura o un foro, abre [API Keys](https://api.sorsa.io/overview/keys), elimina la clave comprometida y genera una nueva. La anterior dejará de funcionar inmediatamente.

***

## Solución de problemas

**401 Unauthorized**

Falta el encabezado `ApiKey`, su nombre es incorrecto o la clave fue eliminada o nunca fue válida. Comprueba que el nombre sea `ApiKey`, no `Api-Key` ni `Authorization`.

**403 Forbidden**

La clave es válida, pero tu suscripción ha caducado o has agotado la cuota mensual. Consulta el saldo en el [panel](https://api.sorsa.io/overview) o mediante `GET /key-usage-info`.

**429 Too Many Requests**

Estás enviando solicitudes por encima del límite: 20 por segundo en todos los planes. Añade una breve espera entre llamadas y reintenta. Consulta [Límites de solicitudes](https://docs.sorsa.io/es/rate-limits) para conocer los detalles y las estrategias de reintento.

**Errores CORS en el navegador**

Si aparecen errores de CORS, probablemente estás llamando a la API desde JavaScript del frontend. Sorsa API está diseñada para utilizarse desde el servidor. Traslada las llamadas a un servicio backend o a una función serverless.

***

## Próximos pasos

* [Límites de solicitudes](https://docs.sorsa.io/es/rate-limits): cuotas y estrategias de reintento.
* [Consumo de la clave de API](https://docs.sorsa.io/es/api-reference/utilidades/uso-de-la-clave-de-api): consulta tu saldo de forma programática.
* [Referencia de la API](https://docs.sorsa.io/es/api-reference-guide): explora los endpoints disponibles.