Los tokens sirven para la API HTTP; los agentes externos se conectan por MCP con OAuth. Un token se muestra una sola vez: Nömad solo guarda su huella.
Tokens personales
nmu_live_v1_…, en tu cuenta › Desarrolladores. Actúan como tú y heredan tu rol en cada marca, sin superarlo nunca.- Elige qué puede consultar y qué puede cambiar por apartado (
works.read, kit.write…) y, si quieres, a qué marcas llega. Siempre puede listar sus marcas con brands.list. - Caducidad: 7, 30 o 90 días (por defecto), un año o el día que elijas, y te avisamos una semana antes. También puede no caducar: es un riesgo si se filtra, así que rótalo de vez en cuando; lo puedes revocar cuando quieras y un aviso de filtración lo revoca al momento.
Cuentas de servicio
- Para lo que es de la organización y no de una persona (una tienda, un ERP, una automatización): en el workspace › Desarrolladores, quien administra crea la cuenta, le da un rol en todas o algunas marcas y le emite tokens
nmw_live_v1_…. - La cuenta sigue funcionando aunque quien la creó se vaya; los avisos de sus tokens le llegan a quien los emitió.
- Desactivarla revoca todos sus tokens al instante y le quita el acceso a las marcas.
Rotar, revocar y filtraciones
- Rotar crea un secreto nuevo con el mismo nombre, permisos y marcas; el anterior sigue funcionando 0, 1, 24 o 168 horas para cambiarlo sin cortes.
- Revocar corta el acceso en la siguiente llamada. Cada token guarda su último uso.
- Guárdalo como un secreto, fuera del código. Si aparece donde no debía, cualquiera puede revocarlo enviándolo a
POST /api/credentials/revoke (cuerpo { "token": "…" }); la respuesta es la misma exista o no.
