APIs y webhooks
En producciónClaves acotadas. Eventos firmados.
API REST de servidor a servidor con claves sin permisos por defecto, acotadas a 19 permisos y limitadas por IP y caducidad, y 11 eventos salientes firmados con HMAC-SHA256, con reintentos y registro.
Qué hace
Claves sin permisos por defecto
Diecinueve permisos (scopes), escritura solo en seis prefijos de ruta, y 26 reglas de ruta que cierran a las claves el acceso a equipo, sesiones, KYC, AML, juego responsable, privacidad y soporte.
Una sola clave nunca basta para mover dinero
Ni siquiera una clave con acceso total puede enviar un retiro, crear una devolución, ajustar una cartera o leer datos personales. Cada una de esas acciones necesita su propio permiso, concedido a propósito.
Claves de vida corta
Se muestran una vez y se guardan como huella, se comparan en tiempo constante y caducan a los 90 días por defecto y a los 365 como máximo, con una lista opcional de IP permitidas.
Eventos salientes firmados
Once eventos, desde altas y resultados de KYC hasta depósitos, grandes premios, retiros, devoluciones y coincidencias de AML, cada uno firmado con HMAC-SHA256 sobre su marca de tiempo y su cuerpo.
Entregas que puedes comprobar
Cinco intentos en unas dos horas y media, pausa automática tras 20 fallos seguidos, registro de entregas, reenvío manual y rotación del secreto.
- En piloto
Llamadas de los proveedores
Los proveedores de juego y las pasarelas de pago llaman a sus propios endpoints, con verificación de firma, listas de IP y límites de frecuencia. Aún no hay proveedores conectados para ningún operador.
En cifras
Permisos de las claves de API
19
Eventos salientes
11
Intentos de entrega
5
en unas 2,5 horas
Detalles
Cómo se autoriza una llamada
La clave se envía en la cabecera X-API-Key. La plataforma solo guarda su SHA-256 y compara en tiempo constante. Los límites de frecuencia se aplican en 21 niveles por clave, usuario, jugador o IP, con cabeceras X-RateLimit y un 429 que indica cuándo reintentar.
Cómo se firma un evento
Cada entrega lleva X-iGX-Signature con una marca de tiempo y un HMAC-SHA256 de la marca de tiempo y el cuerpo, además de X-iGX-Event y X-iGX-Delivery. Un reenvío indica cuál es el original. Cada solicitud tiene un tiempo máximo de 12 segundos, nunca se siguen redirecciones y se rechazan las direcciones privadas.
Lo que aún no está
Aún no hay una especificación OpenAPI pública ni SDK: la referencia está en la consola, permiso a permiso. La API solo está versionada para afiliados, solo funciona de servidor a servidor y todavía no hay un entorno de pruebas separado.
Contacto
Cuéntanos tu proyecto.
Mercados, marcas, verticales. Te enseñamos la plataforma pensando en tu caso.