OAuth y Clientes de Máquina

Integraciones seguras de máquina a máquina: credenciales de cliente, ámbitos, secretos hash, rotación, cuotas por integración y registros de auditoría.

¿Qué es esta función?

No todos los usuarios de tu plataforma son personas sentadas frente a un teclado. A menudo, los "usuarios" más importantes son otros sistemas de software: un CRM que extrae datos de conversación, un servicio backend que envía mensajes automatizados, un pipeline de datos que exporta análisis. Estas conexiones máquina a máquina se manejan a través de OAuth y credenciales de API: una forma segura para que los sistemas externos se autentiquen e interactúen con tu plataforma de manera programática.

Por qué es importante para tu negocio

Las integraciones de API son una parte importante de los acuerdos empresariales. Cuando un cliente grande quiere conectar tu plataforma a sus herramientas internas, necesita una forma segura, auditable y manejable de hacerlo. Esta función es lo que lo hace posible.

Habilita integraciones. Los clientes pueden conectar tu plataforma a su pila tecnológica existente sin intervención manual para cada solicitud.
Seguridad que puedes auditar. Cada conexión tiene sus propias credenciales. Si una se ve comprometida, revocas solo esa — no todo. La pista de auditoría muestra exactamente lo que ha estado haciendo cada conexión.
Límites de uso por integración. Puedes limitar cuántas solicitudes puede hacer una integración dada por día, protegiéndote de picos de costos inesperados causados por un script descontrolado o una herramienta de terceros mal configurada.
Respuesta a incidentes fluida. Si se filtra la clave API de un cliente, el proceso para revocarla, emitir nuevas credenciales y notificarles está optimizado y bien documentado — minimizando daños y tiempo de inactividad.

Cómo funciona (sin jerga técnica)

Un administrador registra una nueva integración en el panel de administración, dándole un nombre y definiendo lo que se le permite hacer (sus alcances) y cuántas solicitudes puede hacer.
El sistema genera credenciales — un ID de cliente y un secreto. El secreto se muestra exactamente una vez, luego se almacena solo como un hash seguro (como una contraseña — incluso la plataforma no puede verlo nuevamente después de su creación).
El sistema externo se autentica utilizando esas credenciales para obtener un token de acceso limitado en el tiempo, que incluye con cada solicitud.
Cada solicitud de token se registra — qué integración, desde qué dirección IP, para qué organización. Esto crea una pista de auditoría completa.
El uso se rastrea en tiempo real. Cuando una integración se acerca a su límite diario, comienza a recibir encabezados de advertencia. Cuando alcanza el límite, las solicitudes son rechazadas con un mensaje de error claro en lugar de fallar silenciosamente.

Rotación de credenciales (manteniendo las cosas seguras con el tiempo)

Las credenciales de API no deberían vivir para siempre. La plataforma admite la rotación de credenciales — generando nuevas credenciales mientras le da al propietario de la integración una breve ventana para actualizar sus sistemas, luego invalidando las credenciales antiguas. Esto es importante para:

Higiene de seguridad rutinaria (rotar credenciales según un calendario)
Recuperación posterior a incidentes (reemplazar inmediatamente credenciales comprometidas)
Desvinculación (revocar permanentemente el acceso cuando termina una asociación)

Lo que puedes hacer como administrador

Crear, ver y revocar integraciones desde el panel de administración
Ver un registro de actividad reciente por integración (cuándo se autenticó, cuántas solicitudes hizo)
Rotar credenciales con un flujo de interfaz de usuario guiado
Establecer cuotas diarias de solicitudes por integración
Desactivar inmediatamente cualquier integración con un solo clic si algo parece sospechoso

Qué esperar en la hoja de ruta

El equipo está construyendo:

Almacenamiento de credenciales en hash y una interfaz de usuario para la rotación de credenciales (estimado 2 semanas)
Aplicación de cuotas por integración con seguimiento de uso en tiempo real (estimado 3 semanas)

Una vez en vivo, estas funciones te darán a ti y a tus clientes la visibilidad y el control necesarios para integraciones seguras de nivel empresarial.