Guías

Autenticación

Cada petición lleva una clave de API secreta en la cabecera Authorization.

HTTP

GET /api/v1/invoices HTTP/1.1
Host: cryptopay.yanselmask.com
Authorization: Bearer cp_live_••••

Claves live y de prueba

Las claves empiezan por cp_live_ o cp_test_. Una clave de prueba solo ve y crea datos de prueba (livemode: false) y una clave live solo ve datos live. Las facturas de prueba nunca tocan dinero real.

Permisos (scopes)

Cada clave tiene un conjunto de permisos (scopes). Una petición sin el permiso necesario falla con 403 FORBIDDEN_SCOPE.

invoices:readLeer facturas
invoices:writeCrear y cancelar facturas
links:readLeer links de pago
links:writeCrear y desactivar links de pago
products:readLeer productos
products:writeCrear productos
payments:readLeer pagos
rates:readLeer monedas y tasas
webhooks:manageGestionar endpoints de webhook

Límites de peticiones

Hasta 120 peticiones por minuto por clave, con ráfagas de 60. Cada respuesta lleva X-RateLimit-Limit, X-RateLimit-Remaining y X-RateLimit-Reset; si lo superas recibes 429 con Retry-After.

Reintentos idempotentes

Envía la cabecera Idempotency-Key en las peticiones POST. Repetir la misma clave con el mismo cuerpo en 24 horas devuelve la respuesta original (con Idempotent-Replayed: true) en vez de crear una segunda factura. Reutilizar una clave con otro cuerpo falla con 409.

Guarda las claves solo en tu servidor. Nunca las pongas en un navegador, una app móvil o un repositorio público. Si una clave se filtra, revócala en el panel: deja de funcionar al instante.