Documentación para desarrolladores
Autenticación, permisos y credenciales seguras
Inicia sesión con OAuth para un agente, usa un token de acceso personal en tu servidor y elige los permisos que necesita cada solicitante.
Leer en MarkdownRevisado por el equipo de SosoAPI ·
Elige una credencial para quien realiza la llamada
Para un agente, usa OAuth en el navegador: el usuario inicia sesión y elige el acceso, y la CLI almacena y renueva sus credenciales. Para un script de backend o una tarea CI, proporciona un token de acceso personal mediante VICKY_API_KEY. Mantén las credenciales fuera del código del navegador, repositorios públicos, prompts, capturas y registros compartidos.
Los ejemplos HTTP usan SOSOAPI_ACCESS_TOKEN como variable de entorno del servidor para el valor Bearer. Es una variable de ejemplo, no una opción de CLI. Comprueba las credenciales indicadas para cada operación; los tokens de acceso personal no pueden gestionar claves API.
npx sosoapi auth loginnpx sosoapi auth statusnpx sosoapi auth logoutAlcance y capacidades
Cada solicitud comprueba la pertenencia al espacio de trabajo y el rol requerido para esa operación. OAuth delegado también limita el acceso a los espacios y capacidades elegidos por el usuario. agent:operate cubre lectura y preparación, agent:publish cubre programación y publicación, y agent:engage cubre escrituras de comunidad. Gestionar claves API requiere un permiso independiente.
Un token de acceso personal está limitado por el rol de su propietario y cualquier restricción almacenada de capacidades o espacios de trabajo. Elige solo el acceso que necesita tu integración; omitir límites opcionales puede dejar una clave con acceso amplio. Los perfiles core y full cambian la lista visible de herramientas, no los permisos. El acceso de publicación continúa dentro del alcance concedido sin una nueva aprobación en el navegador por cada publicación.
Almacenamiento y revocación de credenciales
La CLI guarda las credenciales en el llavero del sistema operativo cuando está disponible o en un archivo local que solo puede leer su propietario. Los tokens OAuth de acceso duran una hora y se renuevan mediante el flujo de inicio de sesión. Usa auth status para diagnosticar una conexión en vez de copiar el archivo de credenciales.
Revoca un dispositivo o autorización en Settings → Agents & API Access, o ejecuta auth logout para cerrar la sesión del dispositivo local actual. Esto detiene el acceso futuro. No deshace publicaciones ni cancela programaciones ya aceptadas por SosoAPI; compruébalas y gestiónalas por separado.
Endpoints de inicio de autenticación
Los cuatro endpoints agent-auth documentan el protocolo de inicio de sesión. Usa la CLI admitida o un cliente OAuth remoto para iniciar sesión; estos endpoints no están disponibles mediante api post. Config, request, session y revoke-current aceptan credenciales y campos distintos. Sigue el esquema de cada endpoint y mantén las credenciales de sesión fuera de la salida y los registros.