Consola: sitios y claves de API
Crear sitios, añadir dominios y gestionar claves publicables y secretas.
Sitios
Un sitio es la unidad de la que cuelga todo lo demás: sus dominios, propósitos, claves de API y bóveda. Dale uno propio a cada producto o marca para que sus datos de consentimiento, y su tráfico test/live, nunca se mezclen. El slug aparece en las rutas de la API y es único a nivel global. Un sitio es multidominio: los dominios verificados forman la lista de orígenes permitidos (allowlist de Origin) para las claves pk_.
Eliminar un sitio. Un sitio que contiene algún sujeto —en test o en live— no se puede eliminar, solo desactivar: su historial de consentimiento es prueba y se conserva íntegro. Solo se puede eliminar un sitio sin sujetos, y con él se borran sus dominios, claves y propósitos.
Verificar un dominio
Un dominio que añades funciona de inmediato con las claves TEST. Las claves LIVE, los escaneos de cookies en LIVE y las redirecciones del doble opt-in solo lo aceptan cuando demuestras que lo controlas. Pulsa verify junto al dominio y publica una de estas dos cosas:
- un registro DNS TXT en
_croombit.<tu-dominio>con el valorcroombit-verify=<token>, o - un fichero en
https://<tu-dominio>/.well-known/croombit-verify.txtcon ese mismo valor.
Después pulsa Verify now. Verificar example.com cubre también www.example.com y cualquier otro subdominio. Volvemos a comprobar los dominios verificados cada semana, y uno cuyo registro falte en tres comprobaciones seguidas vuelve a quedar sin verificar (queda anotado en el registro de auditoría). No se pueden añadir direcciones IP ni hosts de una sola palabra. Por API: POST /admin/sites/{siteId}/domains/{domainId}/verify, o la herramienta MCP verify_domain.
Claves de API
Hay dos tipos de clave porque hay dos sitios desde los que se registra realmente el consentimiento: el navegador de tu visitante y tu propio backend.
| Tipo | Prefijo | Uso | Alcance |
|---|---|---|---|
| Publicable | pk_test_ / pk_live_ | Navegador (SDK) | Escribir y leer el consentimiento del sujeto referenciado. Restringida por Origin. Sin acceso de administración. |
| Secreta | sk_test_ / sk_live_ | Servidor | Alcance completo del sitio. Crear sujetos, fusionar, historial, DSAR. |
- La clave completa se muestra una sola vez al crearla.
- Rotar crea una clave de reemplazo; la anterior sigue siendo válida hasta que la revoques (ventana de gracia).
- Revocar invalida la clave de inmediato.
- Una clave
pk_sin lista de orígenes permitidos devuelve403: añade antes un dominio al sitio.
Restringir una clave secreta
Las claves secretas se pueden acotar al crearlas. Nada de esto se aplica a las claves publicables, que se ejecutan en navegadores de cualquier sitio y ya tienen una superficie fija y segura para uso público.
| Scope | Permite |
|---|---|
consent:write | Registrar consentimiento y preferencias; solicitar confirmaciones de doble opt-in. |
subjects:read | Leer un sujeto, su consentimiento, historial y preferencias, y las señales TCF / Consent Mode / GPP que se derivan de ellos. |
subjects:write | Crear sujetos, añadir identificadores, fusionar sujetos. |
dsar:write | Abrir solicitudes de derechos (DSAR). |
scans:write | El worker del escáner de cookies: consultar solicitudes de escaneo y enviar resultados. |
- Scopes. Una clave sin scopes tiene acceso completo, que es la opción por defecto, así que las integraciones existentes siguen funcionando. Una clave con scopes recibe
403 insufficient_scopeen todo lo demás. Cada operación/v1de la referencia de la API indica el scope que necesita (x-croombit-scope). - Allowlist de IPs. Direcciones o bloques CIDR (
203.0.113.0/24,2001:db8::/32). Las llamadas desde cualquier otro sitio reciben403 ip_not_allowed. El endpoint de lectura en el edge rechaza las claves restringidas por IP; usa la API en su lugar. - Caducidad. Opcional. Pasada la fecha, la clave recibe
401 key_expired. Una clave rotada conserva la caducidad de la anterior.
apiKeyId. Consulta Resolución de problemas.