---
title: "Autenticación"
description: "Claves de API, conexiones OAuth, ámbitos y qué credencial usar."
canonical: "https://atelier201.com/docs/es/api/authentication"
updated: "2026-11-06"
---

# Autenticación

Hay dos tipos de credenciales y la diferencia no es meramente estética.

## Claves de API

Una **credencial de servicio del espacio de trabajo**. Quien la tenga actúa en nombre del espacio de trabajo. Solo un administrador puede crearla y elegir sus ámbitos.

```bash
curl https://api.atelier201.com/v1/sites \
  -H "Authorization: Bearer atelier201_live_..."
```

El secreto solo se muestra una vez, al crearlo. Atelier201 guarda un hash, así que no puede volver a mostrarlo. Si lo pierdes, revócalo y crea otro.

## Conexiones OAuth

La **delegación de una persona a un cliente**: un cliente MCP o `atelier201 auth login`. La conexión conserva la identidad de esa persona, así que también está limitada por el nivel máximo de acceso que el espacio de trabajo permite a sus miembros: un administrador decide cuánto de su propio acceso puede delegar un miembro a un agente.

Atelier201 implementa OAuth 2.1 con PKCE, registro dinámico de clientes ([RFC 7591](https://www.rfc-editor.org/rfc/rfc7591)) y el flujo de dispositivo. Todos los clientes compatibles son públicos, por lo que no hay secretos de cliente: PKCE los sustituye.

> **Warning: El límite máximo no define las capacidades**
>
> El límite máximo para miembros restringe lo que pueden delegar a un cliente. No limita lo que pueden hacer en la interfaz web: el producto tiene dos roles, administrador y miembro.

## Ámbitos

Concede solo los ámbitos imprescindibles para el trabajo.

| Scope            | Allows                                                                                                                             |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------- |
| `account:read`   | Consultar el espacio de trabajo, su plan y su saldo de créditos.                                                                   |
| `usage:read`     | Consultar el consumo de créditos a lo largo del tiempo.                                                                            |
| `sites:read`     | Consultar los sitios: archivos, contenido, compilaciones, vistas previas, historial y dominios.                                    |
| `sites:write`    | Crear sitios, editar archivos y contenido, subir archivos multimedia, compilar y compartir vistas previas. Nada se hace público.   |
| `sites:publish`  | Publicar un sitio, restaurar una versión anterior, ponerlo fuera de línea o eliminarlo. Esto cambia lo que ven los visitantes.     |
| `domains:write`  | Conectar, comprobar y eliminar dominios personalizados, y elegir la dirección principal de un sitio.                               |
| `media:generate` | Crear imágenes y vídeos con IA, con cargo a los créditos del espacio de trabajo y al precio que se muestra antes de cada creación. |

`sites:write` no permite publicar ni gastar créditos: solo `media:generate` puede hacerlo. Un agente con este ámbito puede preparar un sitio completo, y el propietario decide cuándo publicarlo. El ámbito es la primera comprobación, no la única: para publicar, restaurar una versión anterior, poner un sitio fuera de línea, eliminarlo o cambiar dominios también hace falta un administrador del espacio de trabajo.

Un sitio de invitado no utiliza ninguno de estos tipos de credenciales: su token de escritura de corta duración da acceso a ese único sitio. Consulta [Sitios de invitado](/docs/platform/guest-sites).