QrX Connect: conectar su plataforma con OAuth

QrX Connect permite que un comercio vincule su canal QrX a su sistema (por ejemplo, una app de comercio electrónico, un WMS o una tienda a medida) sin copiar y pegar una clave de API. El comercio inicia sesión en QrX, elige un canal y hace clic en Allow (Permitir), y su servidor recibe la clave de API de ese canal. A partir de ahí, usted llama a la misma API pública de QrX que cualquier integración de comercio. La app QrX para Shopify usa QrX Connect.

Qué necesita de QrX

Un client id para su integración. Cada integración recibe el suyo.
Su URL de callback en su propio sistema, solo HTTPS, registrada en ese cliente. Después de que el comercio haga clic en Allow, QrX redirige a esa URL.

Solicite un client id a través de qrx.eu/api o contactando con el soporte de QrX.

Cómo funciona

Abra el inicio de sesión de QrX. Envíe al comercio a https://portal.qr-x.app/oauth/authorize con su client id, su URL de callback, un valor state aleatorio y un desafío PKCE (S256).
El comercio elige un canal y hace clic en Allow. QrX redirige a su URL de callback con un code y el mismo state. Compruebe que el state coincide.
Su servidor intercambia el código. Envíe POST https://api.qr-x.net/api/v1/oauth/token como datos de formulario con grant_type=authorization_code, client_id, code, redirect_uri (el mismo callback) y code_verifier. La respuesta contiene el merchantChannelApiKey del canal.
Llame a la API. Intercambie esa clave por un token de acceso con POST /api/v1/auth/token, exactamente igual que en una integración directa.

El código de autorización solo puede usarse una vez. Un código no válido o caducado devuelve HTTP 400 con invalid_grant; inicie el flujo de nuevo.

Qué puede hacer la conexión

Solo lo que puede hacer una clave de API normal de comercio para ese único canal: crear envíos de Payment on Delivery, crear etiquetas y leer el estado del pago y del seguimiento. No puede cambiar la facturación ni los usuarios, ver otros canales ni saltarse la aprobación de la cuenta QrX. El pago del consumidor en la puerta siempre permanece en go.qr-x.app.

Consejos de seguridad

Guarde la clave de API recibida solo en su servidor, cifrada, y nunca en un navegador o una app.
No ponga secretos en la URL de callback y no pase el código a otro origen.
Si sospecha que una clave se ha filtrado, deje de usarla y contacte con el soporte de QrX junto con el comercio.

Cuándo contactar con nuestro equipo de soporte

Contacte con el soporte de QrX en [email protected] para solicitar o cambiar un client id o una URL de callback, o cuando el intercambio del token siga fallando con un código válido.