# Autenticación

> Autentícate con tu clave de API de Ora, y rótala o revócala.

### Tu clave de API

Envía tu clave en cada solicitud, en la cabecera `Authorization`:

```
Authorization: Bearer ora_YOUR_API_KEY
```

- **Formato.** `ora_` seguido de 43 caracteres (letras, dígitos, `-` y `_`), 47 en total. Cualquier otra cosa se rechaza con un `401` antes siquiera de buscarla.
- **Una clave por cuenta.** Actúa en tu nombre: ve tus tokens, tus wallets y tu portfolio, y los de nadie más.
- **Guárdala donde solo tú puedas acceder a ella.** En un servidor, en una variable de entorno o en un gestor de secretos, o en el almacenamiento protegido de una app o de una extensión de navegador instalada en tu propio dispositivo. Nunca la pongas en el código de un sitio web, en una URL, en una query string ni en un repositorio. Ora solo guarda un hash de la clave y no puede volver a mostrártela.
- **Sin inicio de sesión, sin sesión.** No hay nada que renovar: la clave funciona hasta que la rotes o la revoques, o hasta que se desactive el acceso a la API en tu cuenta.

> **Warning:** **Cualquiera que tenga tu clave puede actuar en tu cuenta**, incluso operar y lanzar con tus wallets. Trátala como una contraseña: dásela solo a software en el que confíes y que Ora haya aprobado ([Desarrollar para otras personas](#desarrollar-para-otras-personas)).

### La ventana API Key

En la app, haz clic en tu foto de perfil, arriba a la derecha, y luego en **API Key**. La ventana muestra:

- tu clave, con una insignia **Active** o **Inactive** que te indica si el acceso a la API está activado. Una vez que cierras la ventana, la clave solo se muestra enmascarada;
- el botón **Generate key**, o **Generate new key** si ya tienes una;
- la **Base URL** a la que llamar, con un botón para copiarla.

Si el acceso a la API no está activado, la ventana lo indica en lugar de mostrar el botón: contacta con el soporte de Ora para activarlo.

### Gestionar tu clave

| Para | Haz | Efecto |
|---|---|---|
| Crear | Ventana **API Key** → **Generate key** | Se muestra una sola vez. Cópiala en ese momento. |
| Rotar | Ventana **API Key** → **Generate new key** | La clave anterior se rechaza desde su siguiente llamada. Actualiza antes tus scripts. |
| Revocar | `POST /me/api-key/revoke`, o pídeselo al soporte de Ora | Todas las llamadas con la clave se rechazan a partir de ese momento. |
| Comprobar el acceso | Ventana **API Key**, o `GET /auth/me` | Muestra si el acceso a la API está activado y si existe una clave. |

Si una clave se filtra, rótala de inmediato: la clave filtrada deja de funcionar en su siguiente uso. El acceso a la API es además un interruptor a nivel de cuenta que el soporte de Ora puede desactivar, lo que bloquea al instante todas las claves de la cuenta.

### Desarrollar para otras personas

Los bots, paneles, plataformas y extensiones que desarrollas para ti solo necesitan tu propia clave. Para ofrecer tu software a otros usuarios de Ora, primero necesitas el acuerdo por escrito de Ora: escribe a contact@useora.xyz explicando qué hace y cómo gestiona las claves. Después:

- cada usuario inicia sesión en tu software con su propia clave, y puede revocarla en cualquier momento;
- guardas las claves que recibes con la misma seguridad que la tuya, las usas solo para lo que cada usuario ha pedido y las eliminas cuando un usuario se va;
- indicas con claridad que tu software no lo gestiona Ora, y nunca pides a nadie una clave de recuperación, una clave privada ni un código de inicio de sesión.

Las reglas completas están en la sección 10.11 de los [Términos del servicio](https://useora.xyz/terms).