A través de claves de acceso (access tokens), la funcionalidad de Aplicaciones a medida te permite conectar sistemas propios a los datos de tu tienda a través de la API, sin necesitar soluciones intermediarias ni convertirte en Partner Tecnológico.
En este tutorial, detallamos cómo gestionar esos tokens y permisos en el día a día: actualizar perfiles de acceso, desactivar o renovar claves, revisar el historial de acciones y, si lo necesitás, exportar un reporte completo de auditoría a tu email.
Si todavía no creaste tu primera aplicación a medida, empezá por el tutorial ¿Cómo crear una aplicación a medida y acceder al token en mi Tiendanube?
Helpjuice Warning Callout Title
Esta funcionalidad está disponible únicamente para los planes Escala y Tiendanube Evolución.
¿Cómo gestionar los tokens y permisos?
Dar permiso de acceso a un desarrollador
Podés permitir que un desarrollador de tu equipo, o externo, cree, desactive, renueve y gestione los tokens sin darle acceso completo al panel de administración. Seguí los pasos:
1. Ingresar al administrador de tu Tiendanube.
2. Ir a "Configuración > Usuarios y notificaciones".
3. Hacer clic en "Editar" (ícono de lápiz) en el usuario que querés modificar, o agregar un nuevo usuario.
4. Bajar hasta la sección Permisos y seleccionar la opción "Aplicaciones a medida".
5. Hacer clic en "Guardar".
¡Listo!
Ese usuario podrá crear, instalar, configurar y revocar tokens, pero no tendrá acceso a otras secciones de la tienda a menos que le asignes permisos adicionales.
Actualizar permisos (Perfiles de acceso)
Podés modificar los permisos de una aplicación a medida en cualquier momento, sin necesidad de crear una nueva ni cambiar el token. Seguí los pasos:
1. Ingresar al administrador de tu Tiendanube.
2. En el menú lateral hacer clic en "Aplicaciones a medida".
3. Hacer clic en el nombre de la aplicación cuyos permisos querés actualizar.
4. En la sección “Perfiles de acceso”, marcar o desmarcar los permisos deseados.
5. Hacer clic en "Guardar".
¡Listo!
Los nuevos permisos entran en vigencia de forma inmediata. El token sigue siendo el mismo: solo cambia a qué datos puede acceder.
Eliminar, Desactivar o Renovar token
Si sospechás que un token fue expuesto, querés rotarlo de forma preventiva o simplemente dar de baja una integración, podés eliminar, desactivar o renovar el token directamente desde el panel. Seguí los pasos:
1. Ingresar al administrador de tu Tiendanube.
2. En el menú lateral hacer clic en "Aplicaciones a medida".
3. Hacer clic en el nombre de la aplicación que querés modificar.
4. En la esquina superior derecha, vas a encontrar las opciones Eliminar, Desactivar y Renovar token:
A continuación, el detalle de cada acción:
Eliminar
Al hacer clic en "Eliminar", el token y sus configuraciones se eliminan de forma permanente. Para volver a usar la integración, tendrás que crear una nueva aplicación desde cero.
Desactivar
Al hacer clic en "Desactivar", el token sigue existiendo pero deja de funcionar hasta que lo reactives. Su estado quedará como Desactivado.
Para reactivar el token, hacer clic en el ícono de la columna Acciones y seleccionar "Activar":
Renovar token
Al hacer clic en "Renovar token", se crea un nuevo token con los mismos permisos del anterior. El token anterior deja de funcionar de inmediato.
La renovación puede hacerse de forma inmediata (el token anterior deja de funcionar al instante) o con un período de transición (el token anterior sigue siendo válido por hasta 2 días, lo que permite migrar las integraciones sin tiempo de inactividad).
Consultá los detalles en la sección "Renovación con período de transición"
Helpjuice Warning Callout Title
Al renovar un token, la integración que usaba el anterior dejará de funcionar hasta que configures el nuevo token en tu herramienta. Coordiná el cambio con tu equipo técnico antes de renovar en producción.
Helpjuice Info Callout Title
No hay límite de cantidad de aplicaciones a medida. Podés crear tantas como necesites.
Renovación con período de transición
Cuando necesitás cambiar un token que ya está en uso por integraciones activas, la renovación inmediata puede interrumpir el servicio: el token anterior deja de funcionar al instante y cualquier sistema que aún lo use comenzará a recibir errores. Para evitar esa interrupción, podés usar la renovación con período de transición: en este modo, se genera un nuevo token, pero el anterior sigue siendo válido durante un período configurable (hasta 2 días). Durante ese intervalo, los dos tokens funcionan al mismo tiempo, dándole a tu equipo o al integrador externo el tiempo necesario para actualizar las configuraciones sin tiempo de inactividad.
¿Cómo funciona?
- Hacé clic en Renovar token en la página de tu token y elegí la opción Renovar con período de transición.
- Definí la fecha en que el token anterior debe dejar de funcionar (hasta 2 días a partir de hoy; máximo configurable).
- Al confirmar, se genera un nuevo token con los mismos permisos que el anterior. Revelálo y copiálo de inmediato (modelo reveal-once).
- Actualizá tus integraciones para que usen el nuevo token. Durante el período de transición, los dos tokens funcionan con normalidad, por lo que no hay urgencia ni riesgo de interrupción.
- En la fecha definida, el token anterior deja de funcionar automáticamente. A partir de ese momento, solo el nuevo token sigue siendo válido.
Seguimiento de una transición en curso
Mientras la transición esté activa, la página del token muestra un aviso visual que indica: la fecha en que el token anterior será desactivado, los últimos 4 dígitos del token anterior (por ejemplo: ••••••aB3c) y los últimos 4 dígitos del token nuevo. Usá esta información para confirmar qué clave está en cada integración.
Cancelar una transición
Si cambiás de opinión (por ejemplo, descubriste que aún no es el momento adecuado para cambiar la clave), simplemente hacé clic en Cancelar transición en el aviso de la página del token. Al cancelar:
- El token anterior vuelve a ser permanente (sin fecha de vencimiento).
- El nuevo token se revoca de inmediato y deja de funcionar.
Helpjuice Info Callout Title
Al iniciar una renovación con período de transición, cualquier link compartible que hayas generado para el token anterior deja de funcionar. Si necesitas compartir el nuevo token con un desarrollador externo, genera un nuevo link de compartición desde el nuevo token.
Historial de acciones
Dentro de la página de cada aplicación, la pestaña "Historial de acciones" funciona como una auditoría de seguridad y muestra todos los eventos registrados para esa clave:
- Cuándo se creó la aplicación y quién la creó.
- Cambios de permisos realizados y por quién.
- Instalaciones y desinstalaciones.
- Generación y visualización del token.
- Inicio, finalización o cancelación de una renovación con período de transición.
- Activaciones y desactivaciones
Usá este historial para auditoría de seguridad y para rastrear quién realizó cada acción sobre la aplicación.
Exportar
Desde el encabezado de la sección, al hacer clic en "Exportar", podés descargar un archivo con la información de todas tus aplicaciones a medida y sus claves de acceso. Seguí los pasos:
1. Ingresar al administrador de tu Tiendanube.
2. En el menú lateral hacer clic en "Aplicaciones a medida".
3. En el ángulo superior derecho del encabezado, hacer clic en "Exportar".
4. Vas a recibir un email con el link de descarga. Accedé a tu casilla, localizá el email y hacé clic en "Descargar archivo .csv".
¡Listo!
El archivo incluye el listado de todas tus aplicaciones y sus datos de configuración.
Ahora ya sabés cómo gestionar y proteger tus aplicaciones a medida de forma completamente autónoma desde el administrador de tu Tiendanube.
Buenas prácticas de seguridad para las aplicaciones a medida
Helpjuice Warning Callout Title
Las aplicaciones a medida generan claves de acceso que conectan sistemas externos a tu tienda. Mantené esas claves confidenciales en todo momento.
-
Principio de mínimo privilegio: otorgá solo los permisos estrictamente necesarios para cada integración. Si una herramienta solo necesita leer pedidos, no le des acceso a clientes ni a productos.
-
Una aplicación por integración: evitá reutilizar la misma clave para usos distintos. Así podés revocar o renovar un acceso específico sin afectar el resto de tus integraciones.
-
Nunca compartas el token como si fuera un link: tratalo como una contraseña. No lo pegues en chats, emails ni documentos compartidos. Usá un gestor de contraseñas o variables de entorno.
-
No lo subas a repositorios públicos: si tu equipo usa GitHub u otro sistema de control de versiones, asegurate de que el token esté excluido y nunca quede expuesto en el código.
-
Rotación periódica: renová el token cada 90 o 180 días como buena práctica, aunque no haya indicios de que fue comprometido. Para integraciones en producción, es mejor la renovación con período de transición para cambiar la clave sin riesgo de interrupción.
- Revisá los accesos activos regularmente: desactivá las aplicaciones que ya no estén en uso. Cada clave activa es una superficie de ataque potencial.
Preguntas frecuentes sobre la gestión de aplicaciones a medida
Si desactivo una aplicación, ¿pierdo la configuración?
No. Al desactivar, el token deja de funcionar pero la configuración de permisos e identificación se mantiene. Podés reactivarla en cualquier momento desde la misma pantalla, haciendo clic en el ícono de la columna Acciones y seleccionando "Activar".
¿Puedo usar el mismo token para varias integraciones?
Técnicamente sí, pero no se recomienda. Usar una aplicación por integración te permite revocar accesos de forma granular sin afectar las demás.
Si renuevo el token, ¿tengo que actualizar todas mis integraciones?
Sí. Al renovar, el token anterior deja de funcionar de inmediato. Tenés que reemplazarlo en cada herramienta o sistema que lo usaba. Coordiná el cambio con tu equipo técnico antes de renovar en producción.
¿Quién puede ver el historial de acciones?
Cualquier usuario del panel con el permiso "Aplicaciones a medida" puede ver el historial de una aplicación.
¿Con qué frecuencia debería rotar los tokens?
Se recomienda rotarlos cada 90 o 180 días como buena práctica preventiva, o de forma inmediata si sospechás que un token fue expuesto.
¿Puedo usar los dos tokens al mismo tiempo durante el período de transición?
Sí. Ese es exactamente el objetivo: durante la transición (hasta 2 días por defecto), el token anterior y el nuevo funcionan con normalidad. Usá ese intervalo para migrar tus integraciones sin prisa y sin tiempo de inactividad.
¿Puedo renovar de nuevo mientras una transición está en curso?
Sí. Si inicias una nueva renovación durante una transición activa, la anterior es reemplazada por la nueva: el token más reciente pasa a ser el "actual" y el anterior entra en un nuevo período de transición.
¿Qué pasa con el link compartible del token cuando lo renuevo?
Los links compartibles generados para el token anterior dejan de funcionar en cuanto iniciás la renovación (con o sin período de transición). Si necesitás compartir el nuevo token con un desarrollador externo, generá un nuevo link desde la página del nuevo token.
¿Voy a recibir una notificación por correo cuando el token anterior sea desactivado?
No. La fecha de desactivación es definida por vos al momento de la renovación y es visible en el aviso de la página del token mientras la transición esté activa. Recomendamos planificar la migración de las integraciones en función de esa fecha.
¿Puedo cancelar una transición después de iniciarla?
Sí, mientras la fecha de desactivación aún no haya llegado. Al cancelar, el token anterior vuelve a ser permanente y el token nuevo se revoca de inmediato. Una vez que el período de transición vence, la transición se completa y ya no puede cancelarse.