Scopes OAuth

Los scopes definen los permisos que tu app solicita al comerciante en el momento del consentimiento. Siempre solicita el mínimo de scopes que tu integración necesita.

Tabla de scopes

Cómo se muestran al usuario

En la pantalla de consentimiento, los scopes se agrupan en categorías legibles que describen el área de la tienda afectada:

• Tu catálogo — read:products, write:products, read:categories, write:categories, read:inventory, write:inventory, read:discounts, write:discounts
• Tus ventas — read:orders, write:orders
• Tus clientes — read:customers, write:customers
• Configuración de tu tienda — read:store, write:store
• Tus reportes — read:analytics
• Automatizaciones — read:webhooks, write:webhooks

Buenas prácticas

1. Mínimo privilegio — solo solicita los scopes que tu integración usa activamente. Los scopes adicionales generan desconfianza en el usuario.
2. Scopes de lectura vs. escritura — si tu app solo consulta datos, no solicites los scopes write:*.
3. Ampliar scopes — si más adelante necesitas scopes adicionales, inicia un nuevo flujo de autorización. El usuario deberá volver a consentir.
4. Scopes en el registro — declara en el campo scope del registro del cliente el conjunto máximo de scopes que tu app puede solicitar.

Scopes en el access token

El campo scope de la respuesta del token endpoint y de introspección refleja exactamente qué scopes fueron concedidos por el usuario — que puede ser un subconjunto de lo que solicitaste si el usuario denegó alguno.

{
  "active": true,
  "scope": "read:products read:orders",
  ...
}

Valida siempre que el token incluye el scope requerido antes de intentar la operación.