Autenticación

Permisos y acceso al proyecto.

Los tokens personales API pertenecen a su cuenta y utilizan los permisos de su proyecto actual. Un token con chat:write puede iniciar las mismas acciones de agente y uso de crédito que un mensaje que envía en Amazi, incluido el acceso a otros proyectos que está autorizado a usar. Los tokens no se limitan a un solo proyecto.

Crear y administrar tokens

Utilice la sesión de su cuenta iniciada para POST /auth/api-tokens, GET /auth/api-tokens y DELETE /auth/api-tokens/{tokenId}. Los tokens API no pueden administrar otros tokens. Si inicia sesión con una contraseña, POST /auth/token con correo electrónico y contraseña JSON devuelve un token de sesión de cuenta; envíelo como Authorization: Portador al administrar tokens API. Las sesiones del navegador pueden utilizar su cookie de sesión existente desde un origen Amazi permitido.

Cree un token con un nombre, uno o ambos alcances (chat:read, chat:write) y un ISO UTC expiresAt dentro de los próximos 365 días:

Elija una fecha futura al ejecutar la solicitud. La creación devuelve HTTP 201 con **token** (el secreto, que se muestra una vez) y **elemento** (ID, nombre, prefijo, ámbitos y marcas de tiempo). Guarde el token en el almacenamiento secreto de su servidor. El listado devuelve artículos sin secretos. Eliminar por item.id para revocarlo; el éxito devuelve HTTP 204. Se permiten hasta 20 tokens no vencidos y no revocados por cuenta. La configuración del token está actualmente disponible a través de estas operaciones API, sin una pantalla de configuración dedicada.

## Autenticar solicitudes

Envíe **Authorization: Bearer amz_api_...** a los puntos finales del chat del proyecto a través de HTTPS. No se aceptan tokens de sesión de cuenta ni cookies para estas operaciones de chat. Mantenga los tokens API fuera del código, las URL y los registros del navegador. Cerrar sesión no revoca los tokens personales API. La revocación bloquea solicitudes futuras pero no cancela el trabajo ya aceptado.

## Límites y errores

Cada token permite 60 solicitudes por minuto. HTTP 429 incluye Reintento posterior en segundos. HTTP 400 significa entrada no válida, 401 un token no válido/caducado/revocado, 403 alcance o permisos insuficientes, 404 un proyecto o chat no disponible y 409 una operación conflictiva, como enviar a un chat archivado. Verifique el mensaje de error devuelto para la recuperación. Estos puntos finales autenticados están destinados a integraciones de servidores y no heredan la política de navegador de orígenes cruzados del catálogo anónimo.