Autenticación y permisos

Cada petición lleva una clave de API en la cabecera Authorization:

HTTP

Authorization: Bearer wm_live_5f0c…

Las claves se crean en el panel (Integraciones → Webhooks y API, solo administradores), con nombre, permisos y caducidad opcional. Son de la organización: lo que hagas con ellas queda en el registro de actividad a nombre del usuario que la creó, con el identificador de la clave.

Permisos

Una clave solo entra en las rutas que declaran alguno de sus permisos. El resto de la API (usuarios, facturación, claves, WhatsApp) es solo para sesiones del panel y responde 403 API_KEY_NOT_ALLOWED_HERE.

Permiso	Abre
`contacts:read`	Listar y ver contactos, su línea de tiempo y sus notas
`contacts:write`	Crear, editar, eliminar, lote, identidades y notas
`campaigns:read`	Listar y ver campañas, destinatarios y coste previsto
`campaigns:write`	Crear, añadir audiencia, enviar, pausar y reanudar
`conversations:read`	Listar y ver conversaciones
`automations:read`	Listar automatizaciones y sus ejecuciones
`reports:read`	Todos los informes
`messages:send`	Reservado para la próxima versión (enviar mensajes en conversaciones)

Pide solo los permisos que necesita cada integración: una clave para tu web con contacts:write, otra para tu cuadro de mando con reports:read.

Respuestas de autenticación

Código	`code`	Qué pasa
401	`API_KEY_INVALID`	La clave no existe, está mal escrita o se revocó
401	`API_KEY_EXPIRED`	La clave caducó: crea otra
403	`API_KEY_SCOPE_MISSING`	La ruta pide un permiso que la clave no tiene
403	`API_KEY_NOT_ALLOWED_HERE`	La ruta no está abierta a claves de API
429	`API_KEY_RATE_LIMITED`	Más de 600 peticiones en un minuto con esa clave

Buenas prácticas

Guarda la clave en el gestor de secretos o en variables de entorno de tu servidor; nunca en el navegador ni en una app móvil.
Una clave por integración: así revocar una no para las demás.
Ponle caducidad a las claves de pruebas y proveedores.
Rota las claves cuando cambie la persona o la empresa que las usa.