Credenciales y permisos
Dónde generar tu llave, una por ambiente, y qué alcance tiene.
Dónde generar tus credenciales
Las generás vos mismo desde tu cuenta de Drop, en Configuraciones → Integraciones. No hace falta pedírnoslas ni esperar que te las habilitemos.
Paso a paso
-
Entrá a la app del ambiente contra el que vas a integrar. No es la misma cuenta en cada uno: mirá la tabla de ambientes más abajo y elegí bien, porque una llave de QA no funciona en producción.
-
Hacé clic en tu cuenta, al pie del panel lateral izquierdo, donde aparece tu nombre con la palabra «Dropshipper» debajo y un par de flechitas a la derecha. Se abre un menú: elegí «Configuraciones». Ojo, no es «Mi perfil»: son dos entradas distintas del mismo menú.
-
Seleccioná la pestaña «Integraciones». Ya en la página (que se titula «Configuración»), es la del medio, entre «Información de facturación» y «Ajuste».
-
Buscá la tarjeta «Conexión por API», la primera de esa pestaña. Está junto a la de Shopify, y se describe como «Conectá tu propio sistema para consultar tu catálogo y crear órdenes».
-
Si nunca generaste una, la tarjeta dice «Todavía no tenés una llave». Hacé clic en «Generar llave de acceso». Se crea al instante, sin ningún otro paso.
-
Copiá los dos valores. Al generarla, la tarjeta pasa a mostrar la etiqueta verde Activa y aparecen dos filas:
| Fila en pantalla | Qué es | Ejemplo |
|---|---|---|
| Key ID | Tu identificador público. Se ve siempre, sin ocultar. Va en la cabecera X-Drop-Key de cada petición | pk_live_3f9a1c02 |
| Secret | Con este valor firmás cada petición y nunca viaja por la red. Aparece oculto tras puntos: tocá el ojo (👁) para revelarlo | sk_live_9c4e…7b21 |
Los dos siguen el formato <prefijo>_<ambiente>_<aleatorio>. El segmento del
medio te dice de un vistazo contra qué estás trabajando: live es
producción, datos y dinero reales, y test es cualquier otro ambiente. Si ves
pk_live_ en tu configuración de pruebas, algo está mal apuntado.
Cada fila tiene a la derecha un botón de copiar, que copia el valor real aunque en pantalla se vea la máscara. No hace falta revelar el secreto para copiarlo.
Los dos valores quedan disponibles para siempre
A diferencia de otros servicios, acá el secreto no se muestra una sola vez: volvés a esa pantalla cuando quieras y lo consultás de nuevo. Si lo perdiste, no necesitás regenerar nada.
Aun así, guardalo como lo que es, una credencial, en un gestor de secretos, nunca en el repositorio.
Ambientes
Cada ambiente es una cuenta distinta y una base distinta, así que tenés una llave por ambiente. Generá cada una entrando a la app que le corresponde:
| Ambiente | Dónde generás la llave | URL base del API |
|---|---|---|
| Desarrollo | https://dev.soydrop.com | https://devapi.soydrop.com |
| QA | https://qa.soydrop.com | https://qa-api.soydrop.com |
| Producción | https://app.soydrop.com | https://api.soydrop.com |
Usar la llave de un ambiente contra el API de otro devuelve
401 INVALID_CREDENTIALS. Es la causa más común de un 401 cuando la firma
está bien calculada.
Si tenés varias tiendas
Cada tienda es una cuenta aparte, así que tenés una llave por tienda (y por ambiente). Entrá a cada tienda en la app y generá su llave desde Configuraciones → Integraciones.
Con la llave de una tienda solo ves el catálogo y las órdenes de esa tienda. Si tu sistema maneja varias, guardá una llave por tienda y usá la que corresponda en cada llamada. El webhook y el límite de peticiones también van por tienda.
Si necesitás regenerarla
En la misma tarjeta, abajo a la derecha, está «Regenerar llave». Te pide confirmación con el aviso «Vas a invalidar tu llave actual», y con razón:
El corte es inmediato
En cuanto confirmás, la llave anterior deja de servir y tu integración
devuelve 401 hasta que copies los valores nuevos en tu sistema. No hay
periodo de gracia ni convivencia entre la vieja y la nueva. Hacelo con tu
despliegue listo para recibir el secreto nuevo.
La tarjeta también te muestra el último uso de la llave (o «Todavía no se ha usado»), que sirve para confirmar que tu integración está llegando.
Permisos
Tu credencial lleva todos los permisos que ofrece el API:
| Permiso | Habilita |
|---|---|
products:read | Catálogo, variantes y existencias |
orders:read | Consultar tus órdenes |
orders:write | Crear y cancelar órdenes |
geo:read | Países, departamentos, municipios, configuración de dirección y paqueterías |
Pedir un endpoint sin el permiso correspondiente devuelve 403 FORBIDDEN_SCOPE.
GET /ping no exige ninguno.
Qué ve tu credencial
Todo lo que devuelve el API está acotado a tu cuenta:
- El catálogo son los productos que agregaste a tu tienda, con tus precios. No ves el catálogo de otros vendedores ni el catálogo global.
- Las órdenes son las que creaste por este API. Las que hacés a mano en la app o las que te entran por Shopify no aparecen acá.
Un identificador que no sea tuyo se comporta como uno inexistente: devuelve
404, no 403.