Autenticación

Claves, entornos y scopes.

La clave viaja en la cabecera Authorization. Nunca se acepta por query string: acabaría en logs de acceso, historial del navegador y cabeceras Referer.

Authorization: Bearer dbs_live_xxxxxxxxxxxx

Entornos

Prefijo	Entorno	Courier
`dbs_test_`	Sandbox	Siempre simulado. No puede generar guías reales.
`dbs_live_`	Producción	Courier real. Las creaciones cuestan dinero.
`dbs_internal_live_`	Producción	Organización propietaria. Mismo contrato, distinto plan.

La clave se muestra una sola vez al emitirla. Sólo almacenamos su hash; no existe forma de recuperarla. Si la pierde, rótela.

Scopes

Una credencial sólo puede hacer aquello para lo que tiene scope.

courier-connections:read
courier-connections:write
agencies:read
locations:read
quotes:write
shipments:read
shipments:write
tracking:read
documents:read
webhooks:read
webhooks:write
usage:read
workspaces:read
workspaces:write

Aislamiento

Un recurso de otra organización responde 404, no 403. Es deliberado: un 403 confirmaría que el identificador existe y convertiría la API en un oráculo de enumeración.