Con OAuth 2.0, tu software puede acceder a la Brutlers API en nombre de un proveedor. El proveedor autoriza el acceso una sola vez; a partir de entonces, tu software se sincroniza automáticamente.
Brutlers implementa el flujo de código de autorización OAuth 2.0 con PKCE (RFC 7636). Así funciona el proceso:
┌─────────────┐ ┌─────────────┐ ┌─────────────┐
│ Your App │ │ Brutlers │ │ Vendor │
└──────┬──────┘ └──────┬──────┘ └──────┬──────┘
│ │ │
│ 1. Redirect │ │
│──────────────────>│ │
│ │ 2. Login/Consent │
│ │<─────────────────>│
│ │ │
│ 3. code + state │ 3. Allow │
│<──────────────────│<──────────────────│
│ │ │
│ 4. Exchange code │ │
│──────────────────>│ │
│ │ │
│ 5. Tokens │ │
│<──────────────────│ │
│ │ │
│ 6. API calls │ │
│──────────────────>│ │
Registra tu aplicación en el panel de proveedor bajo Integraciones. Recibirás un Client ID y un Client Secret.
Ir al panel de proveedorRedirige al proveedor a nuestro endpoint de autorización. El proveedor inicia sesión y concede el permiso.
GET /api/oauth/authorize?
response_type=code
&client_id=brut_app_...
&redirect_uri=https://app.example.com/callback
&scope=orders:read orders:write
&state=random_csrf_token
&code_challenge=BASE64URL_SHA256_HASH
&code_challenge_method=S256| Parameter | Required | Description |
|---|---|---|
| response_type | Yes | Debe ser "code" |
| client_id | Yes | Tu Client ID |
| redirect_uri | Yes | Debe coincidir exactamente con una URI registrada |
| scope | Yes | Lista de scopes separada por espacios |
| state | Recomendado | Cadena aleatoria para protección CSRF |
| code_challenge | Recomendado | Hash SHA-256 del verificador de código codificado en Base64url |
| code_challenge_method | Recomendado | Debe ser "S256" |
Tras la autorización recibirás un código de autorización. Cámbialo por un access token y un refresh token.
curl -X POST https://brutlers.com/api/oauth/token \
-d "grant_type=authorization_code" \
-d "code=AUTH_CODE" \
-d "client_id=brut_app_..." \
-d "client_secret=brut_secret_..." \
-d "redirect_uri=https://app.example.com/callback" \
-d "code_verifier=ORIGINAL_RANDOM_STRING"Respuesta
{
"access_token": "brut_at_...",
"token_type": "Bearer",
"expires_in": 3600,
"refresh_token": "brut_rt_...",
"scope": "orders:read orders:write"
}Utiliza el access token como Bearer Token en la cabecera Authorization de tus llamadas a la API.
GET /api/vendor/orders HTTP/1.1
Host: brutlers.com
Authorization: Bearer brut_at_...Los access tokens son válidos durante 1 hora. Usa el refresh token para obtener un nuevo access token. Los refresh tokens son válidos durante 30 días y se rotan con cada uso.
curl -X POST https://brutlers.com/api/oauth/token \
-d "grant_type=refresh_token" \
-d "refresh_token=brut_rt_..." \
-d "client_id=brut_app_..." \
-d "client_secret=brut_secret_..."| Scope | Description |
|---|---|
| orders:read | Leer pedidos |
| orders:write | Crear pedidos y cambiar estado |
| customers:read | Leer datos de clientes |
| profile:read | Leer perfil de proveedor |
Invalida un access token o refresh token. El endpoint siempre devuelve HTTP 200 (RFC 7009).
curl -X POST https://brutlers.com/api/oauth/revoke \
-d "token=brut_at_..." \
-d "client_id=brut_app_..." \
-d "client_secret=brut_secret_..."