Autenticación

Authorization: Bearer <credencial>

​

Elige una credencial

• Credenciales de la organización (claves de la organización, apps de partners): los permisos marcados en la clave o la app, dentro de lo que permite el plan de la clínica. Nunca heredan el acceso de la persona que las creó.
• Credenciales personales (claves personales, conexiones MCP): los permisos de la credencial y tus permisos y centros actuales en Brelio, leídos en cada petición. Si pierdes un permiso o dejas la clínica, todas las credenciales que actúan por ti lo pierden en ese mismo momento.

​

Claves de API de la organización

curl https://api.brelio.app/v1/centers \
  -H "Authorization: Bearer $BRELIO_API_KEY"

curl -X POST https://api.brelio.app/v1/api-keys/$KEY_ID/revoke \
  -H "Authorization: Bearer $BRELIO_API_KEY" \
  -H "Idempotency-Key: $(uuidgen)"

​

Claves personales

​

Apps de partners (M2M)

curl -X POST https://palatial-engine-44.authkit.app/oauth2/token \
  -d grant_type=client_credentials \
  -d client_id="$BRELIO_CLIENT_ID" \
  -d client_secret="$BRELIO_CLIENT_SECRET"

{ "access_token": "eyJhbGciOi…", "token_type": "Bearer", "expires_in": 3600 }

curl https://api.brelio.app/v1/professionals \
  -H "Authorization: Bearer $ACCESS_TOKEN"

• El token lleva la clínica (org_id) y los permisos de la app. Brelio rechaza un token emitido a una persona.
• Pide un token nuevo antes de que se acabe expires_in; no pidas uno por llamada.
• La clínica ve la app en Conexiones y puede eliminarla cuando quiera; sus tokens dejan de funcionar. Una app solo puede eliminarse a sí misma (POST /v1/partner-apps/{id}/revoke).

​

OAuth de MCP

1. Una llamada sin autenticar responde 401 con WWW-Authenticate: Bearer resource_metadata="https://api.brelio.app/.well-known/oauth-protected-resource/mcp".
2. Ese documento indica el servidor de autorización; Brelio usa WorkOS AuthKit, que admite Client ID Metadata Documents y registro dinámico de clientes.
3. Pide el token con resource=https://api.brelio.app/mcp. La audiencia del token debe ser exactamente esa dirección.

curl https://api.brelio.app/.well-known/oauth-protected-resource/mcp

{
  "resource": "https://api.brelio.app/mcp",
  "authorization_servers": ["https://palatial-engine-44.authkit.app"],
  "bearer_methods_supported": ["header"],
  "resource_name": "Brelio",
  "resource_documentation": "https://docs.brelio.com"
}

​

Protege tus credenciales

• Guarda las claves y los client secrets en un gestor de secretos o en variables de entorno. Nunca los subas al repositorio, los pegues en un chat ni los pongas en una URL.
• Da a cada herramienta su propia clave, solo con los permisos que necesita, para poder revocar una sin tocar las demás.
• Las claves se validan con WorkOS y el resultado se guarda hasta 60 segundos, así que una clave revocada puede funcionar hasta un minuto.
• Cada llamada queda registrada con la credencial que la hizo. La clínica lo ve en Configuración › Integraciones › Actividad.