Autenticación.

Cinco familias de credenciales, cada una abre exactamente una superficie. Esta página las mapea, y luego profundiza en las dos que más generarás: las claves API wt_ con sus scopes, y OAuth para aplicaciones de terceros.

tokens ▸ el mapa

Cinco credenciales, cinco superficies.

Cada credencial abre exactamente una porción de Writ. La forma más rápida de depurar un 401 es comprobar el par: qué token, en qué superficie.

wt ▸ claves + scopes

Claves API: una cabecera, un ámbito ceñido.

Una clave es wt_ seguido de 43 caracteres URL-safe. El secreto se muestra una sola vez al crearla y se guarda hasheado — las listas y los registros muestran solo un prefijo corto y no secreto. Envíala como token Bearer:

curl https://api.usewrit.app/api/v1/workflows \
  -H "Authorization: Bearer $WRIT_API_KEY"

headers = {"Authorization": f"Bearer {os.environ['WRIT_API_KEY']}"}

const headers = { Authorization: `Bearer ${process.env.WRIT_API_KEY}` };

req.Header.Set("Authorization", "Bearer "+os.Getenv("WRIT_API_KEY"))

let req = client.get(url).bearer_auth(std::env::var("WRIT_API_KEY")?);

Scopes: resource:action

Las acciones son read, write, execute y delete, sobre diecisiete recursos. Una clave lleva solo los scopes que le concedes — y los recursos fijables pueden acotarse aún más, a ids concretos.

Tres presets cubren la mayoría de las claves: read_only (cada :read), run (:read + :execute) y full (todo, incluido borrar). transfer queda excluido de todos los presets y debe concederse a mano. Los comodines se expanden a scopes concretos en el momento de la concesión, así que una clave nunca puede ampliarse en silencio — y la aplicación es de denegación por defecto: una ruta no abierta explícitamente a claves API las rechaza.

oauth ▸ aplicaciones de terceros

OAuth: PKCE, sin client secret.

La superficie OAuth está hecha para clientes públicos: PKCE es obligatorio, no hay client secret, y los clientes pueden registrarse solos mediante el registro dinámico RFC 7591. Los tokens de acceso llevan el prefijo wto_ (el heredado pso_ se sigue aceptando) y funcionan en /api/* y en los servidores publicados /mcp/{slug}.

Los scopes de OAuth son un conjunto aparte y más pequeño — trece — y una concesión tope en el rol operator, nunca admin:

cuenta ▸ seguridad de acceso

Cerrar la propia cuenta.

Al margen de las credenciales de API, la cuenta lleva sus propias protecciones:

secretos ▸ dos sintaxis

Referencias vault vs placeholders de IA.

Dos sintaxis de placeholder, dos canales — no las mezcles. {{vault:key}} es la sintaxis de los campos de workflow: admite subcampos como {{vault:name.username}}, y una referencia de credenciales sin subcampo se resuelve a la contraseña. {{secret:key}} es el placeholder del canal de IA, para cuando una sesión de IA necesita un secreto. Un campo de workflow espera vault:; una instrucción de IA espera secret:.

faq

Preguntas de autenticación, respondidas.

referencia ▸ siguiente

Pon un token a trabajar.