Autenticación

FINORA usa dos mecanismos de autenticación para sistemas. Cada API indica cuál acepta.

Clave API

Una cabecera con una clave secreta asociada a tu sistema y a sus alcances.

GET /api/v1/pagos/rieles HTTP/1.1
Host: api.example.com
X-API-Key: <tu-clave>

OAuth 2.0 client credentials

Tu sistema cambia su identificador y su secreto (o una aserción firmada) por un token de acceso de corta duración, y lo envía como Bearer.

curl -s -X POST https://api.example.com/oauth2/token \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d grant_type=client_credentials \
  -d scope="clients:read"

GET /v1/clients HTTP/1.1
Host: api.example.com
Authorization: Bearer <token>

Pide un token nuevo cuando el anterior venza; no pidas uno por cada petición.

Qué usa cada API

API	Mecanismo
Merchant	Clave API (X-API-Key); el navegador del cliente usa un token de sesión de un solo uso.
FINORA KYC	Clave API (X-API-Key) u OAuth 2.0 client credentials.
Core Gateway	OAuth 2.0 client credentials con alcances por recurso.
API externa del core	OAuth 2.0 client credentials o clave API (X-Api-Key).
Orquestador	OAuth 2.0 client credentials.
API del CMS v1 (próximamente)	OAuth 2.0 client credentials con aserción firmada (private_key_jwt).
Autorizador JSON (próximamente)	TLS mutuo más firma JWS de cada petición.

Los ejemplos usan api.example.com; el servidor real de cada API está en su referencia.