Autenticación
Claves de API, conexiones OAuth, ámbitos y qué credencial usar.
Hay dos tipos de credenciales y la diferencia no es meramente estética.
Claves de API
Una credencial de servicio del espacio de trabajo. Quien la tenga actúa en nombre del espacio de trabajo. Solo un administrador puede crearla y elegir sus ámbitos.
curl https://api.atelier201.com/v1/sites \
-H "Authorization: Bearer atelier201_live_..."El secreto solo se muestra una vez, al crearlo. Atelier201 guarda un hash, así que no puede volver a mostrarlo. Si lo pierdes, revócalo y crea otro.
Conexiones OAuth
La delegación de una persona a un cliente: un cliente MCP o atelier201 auth login. La conexión conserva la identidad de esa persona, así que también está limitada por el nivel máximo de acceso que el espacio de trabajo permite a sus miembros: un administrador decide cuánto de su propio acceso puede delegar un miembro a un agente.
Atelier201 implementa OAuth 2.1 con PKCE, registro dinámico de clientes (RFC 7591) y el flujo de dispositivo. Todos los clientes compatibles son públicos, por lo que no hay secretos de cliente: PKCE los sustituye.
Ámbitos
Concede solo los ámbitos imprescindibles para el trabajo.
| Scope | Allows |
|---|---|
account:read | Consultar el espacio de trabajo, su plan y su saldo de créditos. |
usage:read | Consultar el consumo de créditos a lo largo del tiempo. |
sites:read | Consultar los sitios: archivos, contenido, compilaciones, vistas previas, historial y dominios. |
sites:write | Crear sitios, editar archivos y contenido, subir archivos multimedia, compilar y compartir vistas previas. Nada se hace público. |
sites:publish | Publicar un sitio, restaurar una versión anterior, ponerlo fuera de línea o eliminarlo. Esto cambia lo que ven los visitantes. |
domains:write | Conectar, comprobar y eliminar dominios personalizados, y elegir la dirección principal de un sitio. |
media:generate | Crear imágenes y vídeos con IA, con cargo a los créditos del espacio de trabajo y al precio que se muestra antes de cada creación. |
sites:write no permite publicar ni gastar créditos: solo media:generate puede hacerlo. Un agente con este ámbito puede preparar un sitio completo, y el propietario decide cuándo publicarlo. El ámbito es la primera comprobación, no la única: para publicar, restaurar una versión anterior, poner un sitio fuera de línea, eliminarlo o cambiar dominios también hace falta un administrador del espacio de trabajo.
Un sitio de invitado no utiliza ninguno de estos tipos de credenciales: su token de escritura de corta duración da acceso a ese único sitio. Consulta Sitios de invitado.