Los dos tokens

Cada petición lleva un token en la cabecera Authorization. Hay dos tipos, y cada ruta dice cuál necesita.

Token de la tienda

Lo pide tu servidor con la credencial de la tienda. Ver Token de la tienda.

Puede	No puede
Ver los datos públicos de la tienda	Crear, editar ni borrar ítems o etiquetas
Listar y ver tus ítems y etiquetas	Ver las compras de la tienda ni sus entregas
Registrar clientes en tu tienda	Tocar el equipo, la cuenta ni la propia credencial
	Ver ítems o datos de otras tiendas

Token del cliente

Lo obtiene cada cliente al iniciar sesión en tu sitio. Ver Login de clientes.

Puede	No puede
Ver sus propios datos	Ver compras de otros clientes
Aceptar los términos de pago y guardar sus tarjetas	Ver sus compras hechas en otras tiendas
Comprar en tu tienda	Comprar ítems de otra tienda
Ver sus compras y el estado de su pago y su entrega	Cambiar el estado de una entrega o cancelar
	Entrar al dashboard de La Vitrina

La tienda sale del token

Ninguna ruta recibe el identificador de la tienda. La API lo toma del token: el de la tienda lleva tu credencial y el del cliente viene del inicio de sesión de tu sitio (sf-…-login). Así, nada de lo que se envíe puede apuntar a otra tienda.

El secreto, solo en tu servidor

El token de la tienda se pide con el client_secret. Ese secreto nunca debe llegar al navegador ni al código público de tu sitio. Si tu sitio es solo frontend, añade un pequeño servidor (o funciones serverless) que pida el token de la tienda y haga esas llamadas. El token del cliente sí vive en el navegador: es suyo y solo le sirve a él.

Una cuenta para todas las tiendas

La cuenta de un cliente es de La Vitrina. Si ya se registró en otra tienda, inicia sesión en la tuya con el mismo correo y contraseña. Al iniciar sesión en tu sitio queda también como cliente de tu tienda.