API Keys

Las API keys son el mecanismo de autenticación contra https://api.lxsyscr.com. Cada API key pertenece a un único tenant y carga su propio conjunto de scopes y límites.

Anatomía

Toda API key de LX CloudPos sigue este formato:

lxs_live_a1b2c3d4_0011223344556677889900aabbccddeeff00112233445566
└──┬──┘  └──┬──┘  └────────────────────┬────────────────────┘
   1         2                          3

Total: 64 caracteres + el scope literal = 73 caracteres.

Cómo se almacena del lado del servidor

LX CloudPos nunca guarda la API key completa. En la base de datos solo persisten:

• El prefijo en claro, para identificar la API key en logs y en la UI del CRM.
• Un hash SHA-256 del valor completo, para verificar las requests entrantes.

Si perdés la API key, no podemos recuperarla: debés solicitar una rotación.

Cómo obtener una API key

1. Contactá al administrador de la cuenta LX CloudPos.
2. El admin abre el CRM → módulo Integraciones → Nueva API Key.
3. Configura: nombre, tenant, scopes y webhook URL (opcional).
4. Al crearla, el sistema muestra la API key completa una sola vez.
5. El admin debe entregártela por canal seguro (nunca email plano — usá 1Password Send, Bitwarden Send, Signal, etc.).
6. Guardala en tu gestor de secretos antes de cerrar la ventana del CRM.

Buenas prácticas de almacenamiento

✅ Sí:

• Variables de entorno (process.env.LXS_API_KEY).
• Secret Manager (Google, AWS, Azure).
• HashiCorp Vault.
• Doppler, Infisical o similares.

❌ No:

• Hardcodeada en el código fuente.
• Archivos .env commiteados a Git (verificá .gitignore).
• Configuración pública del frontend — la API key debe vivir solo en el backend.
• Logs estructurados sin enmascarar el valor.

Límites por API key