Primeros pasos
Autenticación y ámbitos
Cada llamada lleva una clave de API. Una clave da acceso a un solo espacio de trabajo, hace lo que permiten sus ámbitos y puede caducar.
Cómo enviar la clave
Envía la clave como token Bearer. Las herramientas que solo pueden rellenar una cabecera con nombre pueden usar X-Api-Key en su lugar; es la misma clave.
GET /api/v1/events HTTP/1.1
Host: attendbeacon.com
Authorization: Bearer abk_k7m2qx9vtw4p_...Una clave tiene la forma abk_, doce caracteres, un guion bajo y un secreto de 43. Los doce caracteres son su prefijo: el espacio de trabajo los muestra para que distingas las claves, y la actividad de las claves las identifica por ellos. Los escáneres de secretos reconocen la marca abk_, así que es fácil encontrar una clave subida por error a un repositorio.
Solo se responde por HTTPS. No hay cookies ni sesiones: cada solicitud es independiente.
A qué da acceso una clave
Una clave pertenece a un espacio de trabajo y no da acceso a nada más. Un evento, un asistente o un webhook de otro espacio de trabajo responde 404, exactamente como si no existiera, así que una clave nunca puede averiguar lo que tiene otro organizador.
El espacio de trabajo de demostración no tiene claves propias. Crea tu propio espacio de trabajo para probar escrituras; las lecturas de Beacon Summit en esta documentación son datos reales de la demostración.
Ámbitos
Un ámbito es un área más un tipo de acceso: events:read, attendees:write. Da a una clave los ámbitos que necesita su software y nada más; así, si la clave se filtra, no expone más que eso.
- La escritura incluye la lectura en la misma área: una clave con
program:writetambién puede leer sesiones. people:reades un ámbito propio. Sin él, las personas son ids: un asistente tiene una entrada, un estado y una hora de registro de entrada, pero no nombre, dirección de correo, empresa ni respuestas, ypersonalDataindicawithheld. Los recuentos, las ventas y el programa no necesitan datos de personas.- Una llamada que necesita un ámbito que la clave no tiene responde
403con"code": "missingScope"y"scope"indicando cuál falta. Los ámbitos se eligen al crear la clave; si necesitas otros, crea una clave nueva.
| Ámbito | Permite |
|---|---|
events:read | Events: the list, details, statistics, registration questions and doors. |
events:write | Create draft events, change their basics and publish or unpublish them. |
tickets:read | Ticket types, add-ons and discount codes, with what is sold. |
tickets:write | Change a ticket type's capacity and sales window, and create discount codes. |
orders:read | Orders and their money, and the sales pace. |
attendees:read | Registrations and attendees: ticket, status and check-in; names and answers need people:read too. |
attendees:write | Register people with a free ticket and cancel tickets, as the workspace does. |
checkins:read | Door scans and check-in counts. |
checkins:write | Check attendees in at a door, by the scanner's rules. |
program:read | Sessions, rooms, tracks and speakers. |
program:write | Add and change sessions on the agenda. |
sponsors:read | Sponsors, exhibitors, their levels and consented leads. |
cfp:read | Call-for-speakers submissions and their status. |
crew:read | Crew, volunteers, roles and shifts. |
surveys:read | Surveys, session ratings and their results, never who answered. |
finance:read | Invoices, credit notes and the budget summary. |
sharekit:read | The share kit's leaderboard of speakers, sponsors and attendees who spread the word. |
communities:read | Communities and their members. |
webhooks:read | Webhook endpoints, their deliveries, the event types and subscriptions for automation platforms. |
webhooks:write | Add, change, test and remove webhook endpoints. |
people:read | Personal data in any of the above: names, email addresses, companies and answers. Without it, people are ids only. |
El espacio de trabajo ofrece cuatro puntos de partida: Panel (eventos, entradas, pedidos, registros de entrada y el programa, solo lectura), Power Automate o Zapier (lo que usan el conector y la app de Zapier), Asistente de IA (todo en lectura, datos personales incluidos) y Todo.
Claves creadas antes de octubre de 2026
Las claves anteriores a los ámbitos por área tenían read y write. Se han reescrito a lo que esos ámbitos significaban y siguen funcionando exactamente igual: read pasó a ser todas las lecturas que existían (datos personales incluidos), y write pasó a ser attendees:write y checkins:write. Ninguna clave ha ganado permisos nuevos.
Caducidad y revocación
Una clave puede caducar a los 30, 90, 180 o 365 días, o nunca. Una clave caducada responde 401 con "code": "keyExpired"; crea la clave nueva antes de que caduque la antigua, sustitúyela y nada se detiene.
Revocar una clave en el espacio de trabajo la desactiva de inmediato (keyRevoked). Los flujos de Power Automate y los Zaps que suscribió se dan de baja con ella, porque ya no podrían darse de baja por sí mismos.
La actividad de las claves
Integraciones › API & MCP › Actividad de las claves muestra cada llamada que una clave hizo a través de la API o del servidor MCP en los últimos 90 días: cuándo, qué operación (la ruta, como GET /events/{eventId}/attendees, o la herramienta MCP), cómo se respondió, cuánto tardó y desde qué dirección. Nunca una cadena de consulta, un cuerpo ni una respuesta: la dirección de correo de un asistente en una búsqueda no debe quedar en un registro. Las llamadas rechazadas también aparecen, con su código, así que es el primer sitio donde mirar missingScope o rateLimited cuando un flujo se detiene.
Los cambios hechos con una clave también aparecen en el registro de actividad del espacio de trabajo, con el nombre de la clave: «API key abk_k7m2qx9vtw4p (Attendee sync for the CRM)».
Mantén tus claves seguras
- Una clave por cada software, con su nombre, para poder revocar una sin detener las demás.
- Guarda las claves en un almacén de secretos (Key Vault, los secretos de tu CI, un gestor de contraseñas), nunca en el código ni en un repositorio.
- Nunca envíes una clave a un navegador. El botón Pruébalo de esta documentación es la excepción que decides tú: la clave se queda en la memoria de esa página y solo va a attendbeacon.com.
- Pon una caducidad a las claves y revoca las que, según la lista de actividad, nadie usa.