Autenticación

La API soporta dos métodos de autenticación, dependiendo del tipo de integración.

Opción 1: JWT (Bearer Token)

Recomendado para integraciones donde un usuario final inicia sesión (ej: apps propias, portales de terceros con login).

Obtén un token llamando a POST /auth/token con tus credenciales.
Incluye el token en cada petición:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

El token tiene una vigencia de 5 días.
Usa el endpoint POST /auth/token/refresh con tu refreshToken para renovarlo sin volver a autenticar al usuario.

💡
Recomendación
Nunca expongas el token JWT en el frontend de una aplicación pública (ej: JavaScript en el navegador) si el usuario no es quien lo solicitó directamente. Para integraciones servidor-a-servidor, usa X-API-KEY.

Opción 2: X-API-KEY

Recomendado para integraciones servidor-a-servidor (ej: sistemas de un partner que consumen la API de forma automatizada, sin un usuario final detrás).

Genera tu API Key desde la administración de usuarios de Skualo ERP (Configuración → Seguridad → Usuarios). Acá encuentras las instrucciones detalladas.
Incluye la key en cada petición mediante un header:

X-API-KEY: sk-4f8a2c9e1b3d7f6a...

Las API Keys no expiran, pero pueden ser revocadas en cualquier momento desde el ERP.
Cada Key está asociada a un usuario específico y a un conjunto de permisos definidos para ese usuario.
Recomendamos crear un usuario dedicado para integraciones, con permisos mínimos necesarios.

Comparación rápida

Característica	JWT	X-API-KEY
Caso de uso típico	Usuario final con login	Integración servidor-a-servidor
Expiración	5 días (con refresh)	No expira (revocable)
Identifica	Usuario	Usuario
Header	`Authorization: Bearer ...`	`X-API-KEY: ...`

🚧
IMPORTANTE!
Todas las llamadas a la API tienen que ser a través de HTTPS. Llamadas por HTTP plano fallarán. Requests no autenticados también fallarán.