Autenticación

Todas las llamadas a la API Transaccional —excepto el endpoint público de validación de payload y la página de esquemas y ejemplos— requieren un token de acceso. El token se obtiene a partir de tus credenciales y se envía en cada petición con el header Authorization: <token>.

Header sin prefijos

El header debe enviar el token devuelto por la API directamente en Authorization: <token>. No agregues prefijos ni texto adicional; hacerlo provocará HTTP 401 Unauthorized.

Flujo de autenticación

1. Solicita un token con POST /b2b/auth

   Envía clientId y clientSecret en el cuerpo. El endpoint responde con un token y un refreshToken. Esta petición no envía el header Authorization.

2. Usa el token en cada llamada autenticada

   Adjunta el header Authorization: <token> en todas las llamadas a /business-api/b2b/transactions/payments y demás endpoints privados.

3. Refresca el token antes de que expire con POST /b2b/auth/refresh

   Cuando el token esté por vencer, intercambia el refreshToken por un par nuevo sin reenviar el clientSecret.

Obtener un token — POST /b2b/auth

En producción, usa https://api.global66.com como URL base.

Parámetros del cuerpo

Campo	Tipo	Requerido	Descripción
clientId	string	sí	Identificador público de la credencial.
clientSecret	string	sí	Secreto asociado a la credencial.

Ejemplo de petición

cURLNode.jsPython

Ejemplo de respuesta

Seguridad de credenciales

Nunca hardcodees el clientSecret en el código fuente. Guárdalo en un vault seguro o secret manager. El token y el refreshToken también son secretos: no los registres completos en logs ni los almacenes en texto plano.

Refrescar un token — POST /b2b/auth/refresh

Cuando el token esté por vencer, usa el refreshToken para obtener un par nuevo sin enviar nuevamente el clientSecret.

cURLNode.jsPython

Ejemplo de respuesta

Renovación proactiva

No esperes a recibir un HTTP 401 para renovar. Guarda la hora de obtención del token y renuévalo unos minutos antes de que expire. En entornos con múltiples instancias, usa un lock distribuido para que solo una instancia renueve el token a la vez.

Buenas prácticas de seguridad

• Guarda clientId y clientSecret en un vault seguro o secret manager.
• Trata el token y el refreshToken como secretos.
• Centraliza la autenticación y la renovación en un cliente HTTP compartido.
• Si recibes HTTP 401, intenta refrescar el token una sola vez antes de propagar el error.

Para entender qué hacer cuando la API devuelve errores de red, rate limit o IDs duplicados, consulta la guía de errores y reintentos.

Soporte

Si necesitas ayuda para investigar un estado inesperado o una petición fallida, escríbenos a soporte.tech@global66.com indicando el clientId y un ejemplo de la petición fallida (timestamp, request id, status HTTP).