Toda la API requiere un token de acceso Bearer. Lo obtienes con las credenciales de un usuario de tu tenant y lo envías en el header Authorization de cada llamada.

1. Inicia sesión

Envía el usuario (campo username, no el correo) y la contraseña al endpoint de login. Es un endpoint público (no requiere token), pero sí debe apuntar al subdominio de tu tenant.

cURL

curl -X POST "https://tu-empresa.chainlink.mx/api/login" \
  -H "Accept: application/json" \
  -H "Content-Type: application/json" \
  -d '{"username":"tu_usuario","password":"tu_contraseña"}'

Respuesta:

Respuesta 200

{
  "status": "success",
  "code": 200,
  "message": "Successfully login",
  "data": {
    "token_type": "Bearer",
    "expires_in": 2592000,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9...",
    "refresh_token": "def50200a1b2c3...",
    "user": {
      "id": 2,
      "name": "Operador Demo",
      "username": "operador",
      "email": "operador@tu-empresa.chainlink.mx"
    }
  }
}

El access_token es un JWT con vigencia de expires_in segundos (2 592 000 s ≈ 30 días). Si las credenciales son inválidas, la API responde 401 con {"status":"error","code":401,"message":"Unauthorised"}.

2. Usa el token

Adjunta el access_token en el header Authorization de cada petición autenticada:

cURL

curl "https://tu-empresa.chainlink.mx/api/v1/products" \
  -H "Authorization: Bearer TU_ACCESS_TOKEN" \
  -H "Accept: application/json"

Puedes verificar a qué usuario y tenant pertenece un token con GET /api/v1/auth/me.

3. Refresca el token

Antes de que expire, obtén un nuevo par de tokens con el refresh_token:

cURL

curl -X POST "https://tu-empresa.chainlink.mx/api/refreshtoken" \
  -H "Accept: application/json" \
  -H "Content-Type: application/json" \
  -d '{"refresh_token":"TU_REFRESH_TOKEN"}'

4. Cierra sesión

Revoca el token actual cuando ya no lo necesites:

cURL

curl -X POST "https://tu-empresa.chainlink.mx/api/logout" \
  -H "Authorization: Bearer TU_ACCESS_TOKEN" \
  -H "Accept: application/json"

Cuida tus credenciales

Usa un usuario dedicado para cada integración y guarda los tokens en un gestor de secretos. Nunca los incrustes en el frontend ni los subas a un repositorio. Recuerda que la API pública debe estar habilitada para tu tenant por BW Digital.