OAuth y Clientes de Máquina

Integraciones seguras de máquina a máquina: credenciales de cliente, ámbitos, secretos hash, rotación, cuotas por integración y pistas de auditoría.

¿Qué es esta función?

No todos los usuarios de tu plataforma son personas sentadas frente a un teclado. A menudo, los "usuarios" más importantes son otros sistemas de software — un CRM extrayendo datos de conversación, un servicio de backend enviando mensajes automatizados, un pipeline de datos exportando análisis. Estas conexiones de máquina a máquina se manejan a través de OAuth y credenciales de API: una forma segura para que los sistemas externos se autentiquen e interactúen con tu plataforma programáticamente.

Por qué es importante para tu negocio

Las integraciones de API son una parte importante de los acuerdos empresariales. Cuando un gran cliente quiere conectar tu plataforma a sus herramientas internas, necesita una forma segura, auditable y manejable de hacerlo. Esta función es lo que hace eso posible.

Permite integraciones. Los clientes pueden conectar tu plataforma a su pila tecnológica existente sin intervención manual para cada solicitud.
Seguridad que puedes auditar. Cada conexión tiene sus propias credenciales. Si una se ve comprometida, revocas solo esa — no todo. La pista de auditoría muestra exactamente lo que ha estado haciendo cada conexión.
Límites de uso por integración. Puedes limitar cuántas solicitudes puede hacer una integración dada por día, protegiéndote de picos de costos inesperados causados por un script descontrolado o una herramienta de terceros mal configurada.
Respuesta a incidentes fluida. Si se filtra la clave de API de un cliente, el proceso para revocarla, emitir nuevas credenciales y notificarles está simplificado y bien documentado — minimizando daños y tiempo de inactividad.

Cómo funciona (sin jerga técnica)

Un administrador registra una nueva integración en el panel de administración, dándole un nombre y definiendo lo que se le permite hacer (sus ámbitos) y cuántas solicitudes puede hacer.
El sistema genera credenciales — un ID de cliente y un secreto. El secreto se muestra exactamente una vez, luego se almacena solo como un hash seguro (como una contraseña — incluso la plataforma no puede verlo de nuevo después de la creación).
El sistema externo se autentica usando esas credenciales para obtener un token de acceso limitado en el tiempo, que incluye con cada solicitud.
Cada solicitud de token se registra — qué integración, desde qué dirección IP, para qué organización. Esto crea una pista de auditoría completa.
El uso se rastrea en tiempo real. Cuando una integración se acerca a su límite diario, comienza a recibir encabezados de advertencia. Cuando alcanza el límite, las solicitudes son rechazadas con un mensaje de error claro en lugar de fallar silenciosamente.

Rotación de credenciales (manteniendo las cosas seguras con el tiempo)

Las credenciales de API no deben vivir para siempre. La plataforma soporta la rotación de credenciales — generando nuevas credenciales mientras le da al propietario de la integración una breve ventana para actualizar sus sistemas, luego invalidando las credenciales antiguas. Esto es importante para:

Higiene de seguridad de rutina (rotando credenciales en un horario)
Recuperación post-incidente (reemplazando inmediatamente credenciales comprometidas)
Offboarding (revocando permanentemente el acceso cuando termina una asociación)

Lo que puedes hacer como administrador

Crear, ver y revocar integraciones desde el panel de administración
Ver un registro de actividad reciente por integración (cuándo se autenticó, cuántas solicitudes hizo)
Rotar credenciales con un flujo de UI guiado
Establecer cuotas diarias de solicitudes por integración
Desactivar inmediatamente cualquier integración con un solo clic si algo parece sospechoso

Qué esperar en la hoja de ruta

El equipo está construyendo:

Almacenamiento de credenciales hash y una UI de rotación de credenciales (estimado 2 semanas)
Aplicación de cuotas por integración con seguimiento de uso en tiempo real (estimado 3 semanas)

Una vez en vivo, estas funciones te darán a ti y a tus clientes la visibilidad y control necesarios para integraciones seguras de nivel empresarial.