Tokens

Los tokens son credenciales que se utilizan para autorizar solicitudes a la API de Altium 365. Todas las solicitudes a la API deben incluir un token válido en el encabezado Authorization.

Los tokens se crean en tu Workspace, en Admin → Developer. Solo los administradores del Workspace pueden crear tokens.

Tipos de token

Hay dos tipos de tokens disponibles, que se diferencian en cómo se usan y en las implicaciones de seguridad que conllevan.

Token de acceso de larga duración

Una única credencial utilizada directamente como token bearer en las solicitudes a la API. Configuras su tiempo de vigencia al crearlo, hasta un máximo de 1 año.

Authorization: Bearer {token}

Esta es la opción más simple: un solo valor, usado directamente. Funciona bien para scripts, automatización y desarrollo local, donde la facilidad de uso importa más que la rotación de credenciales.

La principal limitación es que el valor del token no cambia durante toda su vigencia. Si queda expuesto, seguirá siendo válido hasta que expire o se revoque manualmente.

Refresh Token

Una opción más segura que separa la credencial de larga duración de la credencial de corta duración utilizada en las solicitudes a la API. Al crearlo, recibes tres valores:

• Client ID – identifica al cliente del token

• Client secret – autentica al cliente del token

• Refresh token – la credencial de larga duración

Los intercambias por un access token de corta duración llamando al endpoint de token. El token de acceso es lo que usas en las solicitudes a la API. Cuando expira, solicitas uno nuevo usando el mismo refresh token.

El refresh token tiene una vigencia configurable de hasta 1 año. Los tokens de acceso que genera son de corta duración.

Este enfoque es más adecuado para integraciones en producción:

• La credencial que viaja con cada solicitud a la API (el token de acceso) es de corta duración

• El secreto de larga duración (el refresh token) permanece en tu almacenamiento seguro y nunca se envía directamente a la API

Consulta Uso de un Refresh Token para ver el flujo de intercambio de tokens.

Elección de un tipo de token

Ámbitos

Cada token está asociado a un conjunto de OAuth scopes que define qué operaciones de la API puede autorizar. Los ámbitos se configuran cuando se crea el token y no pueden modificarse posteriormente.

Consulta OAuth Scopes para ver la lista completa de ámbitos disponibles y cómo se asignan a las capacidades de la API.

Vigencia del token

Ambos tipos de token tienen una vigencia configurable de hasta 1 año, establecida en el momento de la creación. No hay renovación automática: una vez que un token expira, debe crearse uno nuevo.

En el caso de los refresh tokens, la vigencia se aplica al propio refresh token. Los tokens de acceso que genera tienen una vigencia más corta y fija de 1 hora.

Revocar un token

Los tokens pueden revocarse desde Admin → Developer en cualquier momento. Revocar un token lo invalida de inmediato: cualquier solicitud a la API que use ese token fallará con un error de autorización.