Autenticación, claves y mercados

Se acepta Authorization: Bearer <clave> y también X-API-Key: <clave>, porque muchas herramientas de terceros solo saben mandar una de las dos.

La clave se compara por resumen y en tiempo constante: no hay forma de adivinarla por intentos midiendo cuánto tarda la respuesta.

La clave de canal (hoteles, agencias, plataformas, marketplaces) la emite el titular con la comisión y el modo de precio pactados. Puede llevar la marca feed (publica precios de canal) o cobra (el canal cobra al pasajero y comunica el cobro).

La clave de afiliado empieza por afi_: la genera el propio afiliado en su panel, ve siempre el precio público y atribuye a su cuenta toda reserva creada con ella.

Cada llamada trabaja en un mercado: el de X-Market-Id (uno de los id de GET /api/mercados) o, sin cabecera, el del dominio por el que se entra. Los importes vuelven en la moneda de ese mercado.

Una clave puede estar acotada a unos mercados: fuera de ellos contesta 403 con la lista de los suyos.

Nunca en el navegador ni en una app que se distribuye: quien abre las herramientas de desarrollo la copia. Para una web, el widget y los enlaces no necesitan clave; la clave va en tu servidor.

Si una clave se filtra, escríbenos para revocarla: se sustituye sin cambiar nada más de la integración.