Autenticación de API

Introducción

La API pública de Xambee permite integrar tu sistema externo (ERP, CRM, sitio web, app propia) con el agente de Xambee. Puedes:

• Crear citas programáticamente desde tu sistema de reservas
• Enviar pedidos desde tu tienda en línea
• Crear reservas de hospedaje desde tu motor de reservas
• Consultar el estado de conversaciones

La URL base de la API es:

https://app.xambee.com/api/v1

Crear una API Key

1. Ve a Configuración → API
2. Haz clic en Crear API Key
3. Dale un nombre descriptivo (ej: "Integración sitio web", "CRM")
4. Copia la key inmediatamente — solo se muestra una vez

Puedes tener hasta 10 API Keys activas simultáneamente. Cada key tiene un nombre y fecha de creación, y muestra cuándo fue su último uso. Puedes revocarlas individualmente.

Usar la API Key

Incluye la key en el header Authorization de cada request usando el esquema Bearer. Todas las keys empiezan con xmb_live_:

curl -X POST https://app.xambee.com/api/v1/citas \
  -H "Authorization: Bearer xmb_live_tu_api_key_aqui" \
  -H "Content-Type: application/json" \
  -d '{ ... }'

En JavaScript/TypeScript:

const response = await fetch('https://app.xambee.com/api/v1/citas', {
  method: 'POST',
  headers: {
    'Authorization': `Bearer ${process.env.XAMBEE_API_KEY}`,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({ /* ... */ }),
})

const data = await response.json()

Seguridad

• Solo HTTPS — La API rechaza conexiones HTTP no seguras
• API Key = acceso completo — Una key comprometida tiene acceso a todos los datos de tu negocio. Rotarla inmediatamente si sospechas que fue expuesta.
• Por sucursal — Cada API Key pertenece a la sucursal activa cuando fue creada. No tiene acceso a otras sucursales de la misma cuenta.
• Xambee guarda solo el hash de la key, nunca el valor en claro — por eso no se puede recuperar después de creada.

Rate limits

Cada API Key tiene un límite de 120 peticiones por minuto. Al excederlo, la API responde 429:

{ "error": "Demasiadas peticiones. Intenta en un minuto." }

Errores de autenticación

Los errores siguen un formato JSON simple:

{ "error": "API key inválida o revocada" }