Documentación / Autenticación
Autentica cada solicitud Las claves de API del tenant limitan las solicitudes y los registros de pago a una sola integración.
Envía la clave original del tenant en el encabezado x-api-key de cada solicitud a /v1. Las claves ausentes, inválidas, inactivas o rotadas devuelven 401.
curl bash Copiar curl "${API_URL}/v1/banks" \
--header "x-api-key: ${VEXPAY_API_KEY}"Solo del lado del servidor Trata la clave de API como un secreto. Cárgala desde un gestor de secretos o una variable de entorno del servidor; no la expongas mediante variables NEXT_PUBLIC_.
Claves Live y Test Cada cuenta comercial tiene un gemelo Live y un gemelo Test. El modo lo implica la clave que envías. Local: dev-local-api-key (live) y dev-local-api-key-test (test). Los webhooks incluyen livemode: true|false. VEXPay enruta cada método a un banco aliado por ti — nunca eliges ni configuras el banco. Las claves Test usan rieles sandbox o el ambiente de pruebas del banco, así que no se mueve dinero real — los pagos con tarjeta en Test solo aceptan las tarjetas de prueba VPOS (VPOS ) — números fijos que devuelven cada resultado — y rechazan las tarjetas reales sin cobrarlas. La excepción son los microdepósitos y payouts de comercios, que mueven céntimos reales incluso en Test (el par siempre queda bajo Bs 0.50).
Enrutamiento de proveedores por método El equipo de operaciones de VEXPay puede limitar qué métodos de pago (Pago Móvil, VPOS, Débito Inmediato incl. C2P, Crédito Inmediato) puede usar tu cuenta (por ejemplo, solo Pago Móvil). Las llamadas enrutadas (C2P, VPOS, verificación / cuenta receptora de Pago Móvil, payouts y microdepósitos de comercios) eligen automáticamente un proveedor permitido y devuelven 400 cuando no hay ninguno. Los endpoints avanzados de débito y crédito bajo /v1/payments (debit/otp, debit, credit, credit/account, credit/disburse, payouts, change) devuelven 403 cuando ese método no está habilitado en tu cuenta. En modo Test los endpoints de débito nunca se restringen, pero los endpoints de crédito directo (credit, credit/account, credit/disburse, payouts, change) siempre se rechazan con 403 — envía fondos con POST /v1/payouts.
Una clave rotada invalida la anterior solo para ese modo (Live o Test). Actualiza el secreto de forma atómica en cada entorno y verifícalo con GET /v1/banks.
