# Autenticación Esta página cubre la autenticación para la **REST API y los SDKs**, donde la credencial es una clave de API. Vibedasher tiene dos niveles de acceso aquí: la **API autenticada** (una clave de API) y una pequeña **superficie pública, sin autenticación**. ¿Manejas Vibedasher desde tu agente por MCP? No necesitas una clave. Instala `vibedasher-mcp` (**0.6.0 o posterior**) y ejecuta `vibedasher login` — inicio de sesión por navegador, sesión en el keyring de tu sistema operativo. Mira **[Construir con tu agente](/es/guides/build-with-your-agent.md)**. Las claves de API son para los SDKs, para tu propio backend, y para máquinas sin interfaz o de CI donde no puede abrirse un navegador. ## Clave de API (`X-Api-Key`)[​](#clave-de-api-x-api-key "Enlace directo al clave-de-api-x-api-key") La API autenticada — conjuntos de datos, SQL, visualizaciones, conexiones, y más — se accede con una **clave de API** enviada en la cabecera `X-Api-Key`. Así es como se autentican ambos SDKs, y cómo el [servidor MCP](/es/guides/build-with-your-agent.md) se autentica en una máquina sin interfaz o de CI (vía `VIBEDASHER_API_KEY`, que tiene prioridad sobre cualquier sesión de inicio guardada cuando está definida). ### Consigue una clave[​](#consigue-una-clave "Enlace directo al Consigue una clave") Genera una clave en la aplicación bajo **Ajustes → Claves de API** en [cloud.vibedasher.com](https://cloud.vibedasher.com). La creación de claves es deliberadamente **solo para admins y solo de sesión de navegador**: `POST /v1/api-keys` requiere un admin de la cuenta con sesión iniciada a través de la aplicación y rechaza de plano la autenticación por clave de API, así que no forma parte de la superficie del SDK y no la encontrarás en la referencia. Una clave no puede generar otra clave, y un miembro que no sea admin no puede auto-aprovisionarse una — ese es el sentido. Trata una clave como una contraseña: lleva el acceso de tu cuenta. Guárdala en una variable de entorno o un gestor de secretos, nunca en el control de versiones. ### Envíala[​](#envíala "Enlace directo al Envíala") ``` curl https://api.vibedasher.com/api/v1/datasets \ -H "X-Api-Key: $VIBEDASHER_API_KEY" ``` Los [SDKs oficiales](/es/api/sdks.md) conectan esta cabecera por ti — solo tienes que pasar la clave al construir el cliente: ``` import { Vibedasher } from '@vibedasher/client'; const client = new Vibedasher({ apiKey: process.env.VIBEDASHER_API_KEY!, }); const page = await client.datasets.list({ limit: 50 }); ``` ``` from vibedasher import Vibedasher client = Vibedasher(api_key="") client.datasets.list() ``` ### Un solo host, enrutado por tu credencial[​](#one-host-routed-by-your-credential "Enlace directo al Un solo host, enrutado por tu credencial") `https://api.vibedasher.com/api` es la URL base por defecto, y es la única dirección que necesitas conocer. El edge que está delante lee tu credencial — el prefijo de tu `X-Api-Key`, o la región registrada dentro de un token de sesión de navegador — y reenvía la petición a la región que alberga los datos de tu cuenta. Tu código nunca tiene que decir dónde está. (`region` es opcional desde `@vibedasher/client` 4.1.5 y `vibedasher` 4.3.19.) Cada región responde además en su propio nombre de host, `https://api.{region}.vibedasher.com/api`. Esas direcciones están plenamente soportadas y son la forma de **fijar** un cliente a una sola región de forma deliberada: pasa `region` a cualquiera de los dos SDKs, o define la URL base a mano. Un panel expulsado hace exactamente eso — registra el host regional contra el que se construyó, de modo que el bundle que despliegas sigue consultando el mismo sitio. Una petición que no lleva credencial alguna — los endpoints públicos de abajo, y cada preflight CORS — la sirve la región por defecto, `eu-central-1`. ## Endpoints públicos — sin autenticación[​](#endpoints-públicos--sin-autenticación "Enlace directo al Endpoints públicos — sin autenticación") Los endpoints bajo `/v1/public/*` no requieren **ninguna** autenticación. Solo sirven contenido que ha sido explícitamente **publicado y marcado como público**: ``` curl https://api.vibedasher.com/api/v1/public/viz/slug/ ``` Los borradores y los paneles privados devuelven `404` — no hay forma de leer datos sin publicar a través de la superficie pública. Como estas llamadas no llevan credencial, el edge no tiene nada por lo que enrutar, así que llegan a la región por defecto. Si los datos de tu cuenta viven en otra parte, dirige la vía pública al nombre de host de tu propia región. ## Lo que nunca se expone[​](#lo-que-nunca-se-expone "Enlace directo al Lo que nunca se expone") La infraestructura pura y la fontanería de administración están excluidas de la API por completo — la gestión de caché/trabajos/workers de admin, los visores de depuración y observabilidad de IA, la analítica entre cuentas, el transporte WebSocket, y la invocación directa de funciones. Estas hacen funcionar la aplicación internamente y no forman parte de la superficie documentada. nota ¿Necesitas algo que la API todavía no cubre? Contáctanos a través de la [página de contacto](https://vibedasher.com/contact).