Primeros pasos
Autenticación
La API es machine-to-machine (M2M): está diseñada para que tu servidor hable con Tulkit, nunca el navegador ni la app del usuario. Cada request se autentica con una API key enviada en el header x-api-key.
El header
No hay OAuth ni tokens que expiren: basta con incluir la clave en cada llamada.
curl "https://vaultcore.dev.tulkitpay.com/v1/balances" \
-H "x-api-key: $TULKIT_API_KEY"Entornos
Valores de environment
TESTNETstringRedes de prueba. Ideal para desarrollo e integración: los fondos no tienen valor real.
MAINNETstringRedes productivas con fondos reales. Requiere credenciales aprobadas y revisión de cumplimiento.
Cada API key pertenece a un solo entorno y a un solo merchant. Mantén claves separadas por ambiente en tu gestor de secretos y nunca compartas la de mainnet en repositorios o entornos de staging.
Buenas prácticas de seguridad
- Guarda la clave en variables de entorno o en un secret manager; nunca en el frontend, apps móviles ni en el control de versiones.
- Restringe la salida de tu backend por IP cuando sea posible y registra qué servicio interno hizo cada llamada.
- Rota la clave si sospechas exposición: pide una nueva, despliégala y solo entonces revoca la anterior para evitar downtime.
- Activa la aprobación de transferencias para que ninguna salida de fondos dependa de una sola credencial.
Un 401 significa que la clave falta o es inválida; un 403 indica que la clave es válida pero no tiene permiso sobre ese recurso o entorno. Revisa que no estés mezclando credenciales de testnet con datos de mainnet.