Usa la API y los webhooks con seguridad.
SmartChat protege cada conexión con tus programas y apps de IA, para que los datos de tus contactos de WhatsApp lleguen solo donde tú lo permites.
SmartChat guarda tu clave nunca en texto plano.
La clave de API completa la ves exactamente una vez, justo después de crearla. SmartChat guarda de ella solo un valor de comprobación, a partir del cual no se puede recuperar la clave.
- 1
Tú decides lo que puede hacer
Cada clave recibe un nombre y el permiso Solo lectura o Lectura y escritura. Nunca puede hacer más.
- 2
La copias una sola vez
Después, SmartChat solo muestra el principio y los cuatro últimos caracteres. En cada solicitud, SmartChat compara la clave con el valor de control guardado.
Authorization: Bearer DEIN_API_SCHLUESSEL - 3
La bloqueas con un clic
Si generas una clave nueva o la borras, la antigua deja de funcionar al instante. SmartChat rechaza cualquier otra solicitud que la use.
# Respuesta 401 "key": "apikey_revocada"
Las apps de IA solo las conectas con tu consentimiento.
Una app de IA la conectas con SmartChat a través de MCP . Para ello inicias sesión con tu cuenta de SmartChat y confirmas los permisos; no tienes que copiar ninguna clave.
Solo los admins conectan
Los empleados no pueden conectar ninguna app de AI con tu cuenta. Cada conexión vale para una sola cuenta.
Rol comprobado en cada solicitud
Si un admin pasa a ser empleado o deja tu equipo, su conexión termina con la siguiente solicitud.
Los accesos robados no sirven de nada
Si alguien usa por segunda vez un acceso ya utilizado, SmartChat corta toda la conexión.
Las solicitudes repetidas no se envían dos veces.
Muchos programas repiten una solicitud cuando la respuesta tarda demasiado. Si tu programa envía un Idempotency-Key, SmartChat ejecuta la solicitud una sola vez y devuelve la misma respuesta en cada repetición.
curl -X POST https://api.smartchat.marketing/v1/messages \ -H "Authorization: Bearer TU_CLAVE_API" \ -H "Content-Type: application/json" \ -H "Idempotency-Key: recordatorio-cita-4711" \ -d '{"contact_id": "ID_CONTACTO", "text": "¡Hasta mañana a las 10!"}' # Respuesta 201: el mensaje sale { "ok": true, "message_id": "…" }# La misma solicitud con la misma clave, por ejemplo tras un tiempo de espera agotado # Respuesta: exactamente la respuesta de la primera solicitud Idempotent-Replayed: true { "ok": true, "message_id": "…" } # El mensaje no se vuelve a enviar.# La misma clave, pero otro texto # Respuesta 422 { "error": { "key": "idempotency_key_mismatch", "message": "This Idempotency-Key was already used for a different request." } }Tus webhooks están protegidos.
Tus automatizaciones las inicia un programa solo a través de una dirección secreta, y tu web con una clave propia. Los avisos de SmartChat a tu sistema llevan una firma.
Dirección secreta para cada automatización
Solo quien conoce la dirección activa tu automatización. Pertenece a una sola automatización de tu cuenta.
<script src="…"></script> <script> smartchatTrigger({ "email": "{{email}}" }); </script>Clave propia para tu web
En tu web nunca aparece la dirección secreta. Si aun así un navegador la abre, SmartChat la rechaza.
1.ª llamada → La automatización se ejecuta. 2.ª llamada, mismo evento → Este evento ya se ha procesado.Cada evento solo una vez
Si un programa envía el mismo evento otra vez poco después, SmartChat reconoce la repetición y no envía nada dos veces.
X-SmartChat-Event: contact.created X-SmartChat-Timestamp: 1792400000 X-SmartChat-Signature: v1=…Avisos firmados a tu sistema
Cada aviso de SmartChat lleva fecha y hora y una firma. Así tu sistema comprueba que de verdad viene de SmartChat.
https://… permitido http://… rechazadoSolo a direcciones seguras
SmartChat solo envía a direcciones https de internet abierto y no sigue ninguna redirección. Si tu sistema no está disponible, SmartChat lo vuelve a intentar más tarde.
Preguntas frecuentes sobre API y webhooks.
¿Puede SmartChat mostrarme otra vez mi clave de API?
No. SmartChat muestra la clave completa solo justo después de crearla y después guarda únicamente un valor de comprobación. En la lista solo aparecen el principio y los últimos cuatro caracteres. Si pierdes una clave, la generas de nuevo.
¿Qué pasa si una clave de API cae en malas manos?
La generas de nuevo en Ajustes, en Integraciones, o la eliminas. Desde ese momento SmartChat rechaza cualquier solicitud con la clave antigua. De cada clave ves además cuándo se usó por última vez.
¿Qué puede hacer una clave de API?
Exactamente lo que eliges al crearla: solo lectura o lectura y escritura. Si un programa pide algo para lo que la clave no tiene permiso, SmartChat rechaza la solicitud.
¿Quién puede crear claves de API y conectar apps de IA?
Solo los admins de tu cuenta. Los empleados no pueden crear claves ni conectar una app de IA. Quien pierde su rol de admin pierde también, con la siguiente solicitud, las apps de IA que conectó. Más información en Equipo.
¿Puede un programa enviar a cualquier número a través de la API?
No. También a través de la API, las newsletters salen solo después de la confirmación. Quien se ha dado de baja con STOP no recibe nada más, da igual de qué programa venga la solicitud.
¿Qué es una Idempotency-Key?
Un texto de libre elección que tu programa envía en la cabecera de una solicitud, por ejemplo el número de una reserva. Si llega otra vez la misma solicitud con la misma key, SmartChat no la ejecuta de nuevo y devuelve la primera respuesta.
¿Qué pasa si mi programa usa la misma key para otra solicitud?
SmartChat rechaza la segunda solicitud, porque la key ya pertenece a otra solicitud. Si la primera solicitud aún está en curso, SmartChat le pide a tu programa que lo intente de nuevo enseguida.
¿Cómo comprueba mi sistema que un aviso viene realmente de SmartChat?
Al crear una suscripción de webhook recibes un secreto. Con él tu sistema calcula por sí mismo la firma a partir de la marca de tiempo y el contenido, y la compara con la cabecera X-SmartChat-Signature. Si la marca de tiempo es demasiado antigua, descartas el aviso.
¿Qué pasa si mi sistema no acepta un aviso?
SmartChat lo vuelve a intentar más tarde.
¿SmartChat guarda el contenido de los avisos a mi sistema?
No. SmartChat solo recuerda qué aviso está pendiente y lee el contenido justo al enviarlo. Si un contacto ya se ha eliminado, no sale nada más sobre él. Antes de cada envío, SmartChat comprueba además que la suscripción esté activa y que la clave siga siendo válida.
¿Qué hago si la dirección de webhook de una automatización cae en malas manos?
Abres la automatización y generas una dirección nueva. La antigua deja de funcionar. Escribe la nueva dirección en todos los programas que envían eventos a SmartChat. El código de tu web se queda igual.
¿Dónde encuentro la guía técnica de la API?
En la guía de inicio rápido de la API. Todo lo que puedes hacer con la API lo encuentras en API.
Conecta tus programas con seguridad a SmartChat.
Introduce tu web. SmartChat AI crea tu sistema de marketing por WhatsApp en 60 segundos, gratis. Tu primera clave API la creas después en los ajustes.