Autenticación

Cada solicitud lleva una clave de API en el encabezado Authorization:

Authorization: Bearer $OPENLATCH_API_KEY

Claves de API

Una clave personal pertenece a la persona que la creó y actúa con el rol actual de esa persona. Una clave de organización pertenece a la organización: actúa en su propio nombre, con el rol admin, y sigue funcionando cuando se marcha quien la creó. Cada cambio hecho con una clave registra la clave como actor, y el registro de auditoría nombra a la persona a través de la clave en una clave personal, y el nombre de la clave en una clave de organización. Crea y gestiona las claves en la consola; consulta Gestionar las claves de API.

Rol	Puede
viewer	Leer los recursos y la configuración
editor	Todo lo que puede un viewer, más gestionar los recursos y la configuración, como las políticas de intención, las zonas y la propiedad de los agentes
admin	Todo lo que puede un editor, más los usuarios, los equipos y los ajustes
owner	Todo lo que puede un admin, más la propia organización

Cada página de operación indica su rol mínimo. Una solicitud sin una clave válida, o con una clave caducada o revocada, se rechaza con UNAUTHORIZED. Una solicitud de un rol inferior al mínimo de la operación se rechaza con FORBIDDEN.

Agentes

Un agente conectado al servidor MCP inicia sesión con OAuth en nombre de la persona que lo usa, y actúa con el rol de esa persona. Su token solo funciona a través del servidor MCP: enviado directamente a la API, se rechaza. Consulta Usar OpenLatch desde tu agente.

Lo que puede hacer una clave

Una clave solo llega a una operación cuando lo permiten tanto sus ámbitos como su rol. Cada página de operación indica el ámbito que exige junto a su rol mínimo, y Ámbitos de las claves de API lista cada ámbito.

Clave	Lo que puede hacer
Full access (legacy)	Todo lo que permite el rol de su persona. Solo una clave que existía antes de los ámbitos tiene acceso completo, y no se puede crear ninguna nueva
Clave personal con ámbitos	Solo las operaciones de los ámbitos que tiene, dentro del rol de su persona. Un ámbito que cambia algo también concede leerlo, y toda clave puede leer su organización y revocarse a sí misma
Clave de organización con ámbitos	Solo las operaciones de los ámbitos que tiene, con el rol admin. Se le rechaza toda operación de administración de la organización sean cuales sean sus ámbitos, y una operación que describe a una persona le responde FORBIDDEN

Una clave con ámbitos que llama a una operación fuera de sus ámbitos se rechaza con INSUFFICIENT_SCOPE antes de comprobar su rol. El rechazo nombra el ámbito que falta y enlaza con la referencia de ámbitos. Crea una clave con ámbitos como describe Gestionar las claves de API.

Una clave de acceso completo filtrada actúa con el rol completo de su persona hasta que se revoca. Reduce ese riesgo: restringe cada clave de acceso completo, da a cada integración una clave que solo tenga los ámbitos que necesita, guarda las claves en un almacén de secretos y revoca una clave en cuanto nada la use.