Identidad y autorización

SIVA separa identidad (quién inició sesión) de autorización (qué organización, dispositivo y operación puede usar).

Iniciar sesión

En la página Referencia API, abre el panel Identidad SIVA e inicia sesión con una cuenta SIVA existente. El portal no ofrece registro ni recuperación de contraseña; esos flujos están en SIVA APP y SIVA POS.

Al enviar una operación desde Scalar, el portal obtiene un JWT de la sesión activa y lo añade como Authorization: Bearer …. El token se obtiene justo antes de la solicitud y se conserva solo en memoria durante esa operación. No se escribe en la URL ni en almacenamiento persistente del portal. Cerrar sesión invalida la sesión del cliente y el probador deja de adjuntar el token.

Sin sesión, las guías y el OpenAPI siguen siendo públicos, pero SIVA BACK responde 401 en las rutas protegidas.

Autorización del backend

Un JWT válido identifica al actor; por sí solo no concede acceso a una organización. BACK vuelve a comprobar la membresía activa y, según la ruta, la pertenencia del dispositivo y su estado. Los permisos offline son una instantánea de uso local, no una credencial para llamadas HTTP: cada llamada de red requiere una sesión vigente.

La autorización también limita cada operación por organizationId y applicationId. Las consultas o escrituras de una organización ajena deben ser rechazadas por BACK.

Prueba segura

1. Inicia sesión en el panel de Identidad SIVA.
2. Ejecuta GET /v1/organizations para consultar las organizaciones autorizadas a tu usuario.
3. Usa solo una organización de prueba para las demás operaciones.
4. Pulsa Cerrar sesión al terminar. Las llamadas protegidas volverán a recibir 401.

El portal no permite cambiar el servidor de destino: el probador se limita al backend de desarrollo de SIVA.