Rotar API Key Transaccional

Rota una API Key existente del partner, emitiendo una nueva credencial activa y dejando la key anterior en estado rotating por una ventana de solapamiento de 24 horas.

Propósito

Renovar credenciales sin cortar servicio.
Permitir transición segura: key nueva activa + key previa temporalmente válida.

Seguridad

Bearer token requerido.
Scope requerido: apikey.manage.
Requiere headers firmados:
Authorization
Idempotency-Key
X-Request-Id
X-Timestamp
X-Nonce
Content-Digest
X-Signature
X-Signature-Key-Id

Parámetro de ruta

API_KEY_ID (string, requerido): identificador de la key a rotar.

Body

Puede ser {} (vacío lógico), pero al ser POST se firma con Content-Digest del body enviado.

Comportamiento de negocio

Busca API_KEY_ID en índice master.
Valida que pertenezca a un tenant del partner autenticado.
Marca key anterior:
status = rotating
expiresAt = now + 24h
renombra internamente para liberar el nombre original
Crea key nueva:
status = active
conserva metadatos relevantes (scopes, ipAllowlist, ratePlan, expiración si aplica)
relaciona rotatedFromId
Devuelve token de la nueva key una sola vez.

Respuesta exitosa 201

  "newApiKeyId": "6801abcdef555444",
  "prefix": "ak_yZ9tK3mQ",
  "token": "ak_yZ9tK3mQwPx1rLs7nJd4bVf2hOu6cAi0eGk8jRnWqXsMnB",
  "expiresAt": "2026-07-10T00:00:00.000Z",
  "previousKeyId": "6801abcdef777666",
  "previousKeyStatus": "rotating",
  "previousKeyExpiresAt": "2026-04-12T12:00:00.000Z"
}

💡

Errores comunes

400: request inválida.
401: token inválido o firma inválida.
403: scope insuficiente o key no pertenece al partner.
404: API_KEY_ID inexistente o ya revocada.
409: conflicto por condiciones de estado/rotación.

📌

Notas de firma

Método firmado: POST.
Path firmado (según implementación actual):
/api-keys/{API_KEY_ID}/rotate
No firmar con path completo /api/partner/v1/... en canonical string.
Si mandas body {}, el Content-Digest debe corresponder exactamente a ese raw body.

Proporciona tu token bearer en el encabezado

Authorization

al realizar solicitudes a recursos protegidos.

Ejemplo:

Authorization: Bearer ********************

curl --location --request POST 'https://stp.paydaymx.com/api/partner/v1/api-keys/69dc102bd6c14afe9b1266d2/rotate' \ --header 'Idempotency-Key: ' \ --header 'X-Request-Id: ' \ --header 'X-Timestamp: ' \ --header 'X-Nonce: ' \ --header 'Content-Digest: ' \ --header 'X-Signature: ' \ --header 'X-Signature-Key-Id: v1' \ --header 'Authorization: Bearer <token>' \ --header 'Content-Type: application/json'

{ "newApiKeyId": "69dc1041d6c14afe9b1266ec", "prefix": "ak_ncwUYnj4d", "token": "ak_ncwUYnj4dNlkU5udEkaV36v9qsh9eowoj9Brgn3hHlU", "expiresAt": "2026-07-11T21:35:39.983Z", "previousKeyId": "69dc102bd6c14afe9b1266d2", "previousKeyStatus": "rotating", "previousKeyExpiresAt": "2026-04-13T21:36:01.035Z" }

Rotar API Key Transaccional

Solicitud

Respuestas