Autenticación
Llaves de API, credenciales de cliente OAuth, y hasta dónde llega una llave.
Toda solicitud autenticada lleva un token en el encabezado Authorization. Hay dos clases, y en el endpoint son intercambiables.
Cualquier solicitud autenticada
Authorization: Bearer nomi_sk_live_EXAMPLELlaves de API
Una llave se crea en la consola, en Configuración, se muestra una vez y se guarda solo como resumen criptográfico: no hay ningún endpoint que la devuelva. Empieza con nomi_sk_live_ y pertenece a una organización. Por eso ningún endpoint de este API recibe un parámetro de organización: la llave ya lo decidió.
Credenciales de cliente OAuth
POST /oauth/token con el flujo client_credentials cambia un identificador y un secreto de cliente por un token de acceso de vida corta. Es la opción más sólida para una integración de larga vida: lo que queda en tu configuración se intercambia en vez de viajar en cada llamada, y un token filtrado vence solo.
POST/oauth/token
Cambia un identificador y un secreto de cliente por un token de acceso de vida corta.
Lo que no necesita llave
La verificación pública va sin autenticar a propósito: GET /public/credentials/{code} y GET /public/verify le contestan a cualquiera. Un tercero que comprueba un diploma no tiene cuenta contigo y no debería necesitar una.