Flujo: claves API

La administración de claves es una acción humana: se hace desde FinUp con una sesión de administrador, o por un superadmin impersonando el negocio.

Una API key no puede administrar claves. Si un request a /api/api-keys se hace con una clave (aunque sea de acceso total), responde:

{ "error": "API keys cannot be managed with an API key" }

Esto evita que una clave filtrada pueda generar credenciales nuevas.

Endpoints (uso desde la app)

Estos endpoints existen en la API y los usa la interfaz con sesión de administrador:

Método	Ruta	Descripción
`GET`	`/api/api-keys`	Lista las claves del negocio (sin el secreto).
`POST`	`/api/api-keys`	Crea una clave y devuelve el secreto una sola vez.
`DELETE`	`/api/api-keys/:id`	Revoca la clave (baja lógica, inmediata).

Crear una clave:

{ "name": "Integración ERP", "scope": "read" }

Respuesta:

{
  "api_key": {
    "id": "…", "name": "Integración ERP",
    "key_prefix": "finup_ab12cd34", "scope": "read",
    "created_at": "2026-02-01T10:00:00.000Z",
    "last_used_at": null, "revoked_at": null
  },
  "key": "finup_ab12cd34…el secreto completo…"
}

Usar la clave

Una vez creada, la clave se usa como cualquier API key (ver Authentication):

curl "https://api.finup.ar/api/clients" \
  -H "Authorization: Bearer finup_ab12cd34…"

La columna último uso (last_used_at) se actualiza con cada llamada autenticada, así podés detectar claves inactivas.

Rotación recomendada

Creá una clave nueva.
Actualizá la integración para usar la nueva.
Verificá que la anterior dejó de usarse.
Revocá la anterior.

​Flujo: claves API

​Endpoints (uso desde la app)

​Usar la clave

​Rotación recomendada

Flujo: claves API

Endpoints (uso desde la app)

Usar la clave

Rotación recomendada