API e integraciones personalizadas: disponibilidad actual

El plan Agencia contempla acceso mediante API e integraciones personalizadas, pero Holidario todavía no ofrece un portal de desarrolladores ni una API pública, versionada y autoservicio para conectar sistemas sin coordinación previa.

Esta es una limitación documentada, no una instrucción para buscar endpoints ocultos.

Lo que no está disponible como autoservicio#

Actualmente no hay una experiencia pública soportada para:

• crear y revocar tokens desde el perfil;
• elegir permisos o recursos para un token;
• consultar un catálogo público de endpoints y esquemas;
• registrar webhooks del cliente;
• trabajar contra un entorno de pruebas contractual;
• conocer límites, versiones y política de retirada mediante documentación pública.

No inspecciones ni utilices llamadas internas de la interfaz como si fueran una API para clientes. Pueden depender de una sesión, cambiar sin aviso o carecer del contrato de seguridad necesario para un tercero.

Qué significa integración personalizada#

Una integración personalizada requiere acordar antes:

• objetivo de negocio y sistema externo;
• datos exactos de entrada y salida;
• equipo, propiedades y recursos permitidos;
• operaciones de solo lectura o escritura;
• frecuencia, volumen y latencia;
• autenticación, rotación y revocación;
• tratamiento de errores, reintentos e idempotencia;
• datos personales, conservación y responsables;
• pruebas, aceptación, soporte y retirada.

Que una posibilidad figure en el plan no significa que cualquier proveedor tenga ya un conector listo.

Cómo solicitarla#

1. Define el resultado que necesitas, no solo el nombre del sistema.
2. Indica qué usuarios y propiedades deben participar.
3. Separa datos que solo necesitas leer de acciones que deben escribir o enviar.
4. Aporta la documentación pública del proveedor externo.
5. Describe volumen aproximado y frecuencia.
6. Indica si contiene datos personales, financieros, de acceso o de huéspedes.
7. Solicita una revisión de viabilidad y seguridad a Holidario.
8. No entregues todavía claves ni secretos.

Holidario confirmará si existe un conector compatible, si hace falta trabajo específico y qué pruebas o condiciones se requieren. Hasta recibir esa confirmación, la integración no debe considerarse disponible.

Criterios mínimos para aceptar una conexión#

Antes de autorizar producción, tu agencia y Holidario deben poder responder:

• ¿Quién es propietario de cada dato?
• ¿Cómo se limita la integración al equipo correcto?
• ¿Qué ocurre al retirar un usuario o propiedad?
• ¿Cómo se revoca la credencial sin perder control?
• ¿Cómo se evita duplicar una reserva, pago, mensaje o tarea?
• ¿Dónde se registran los fallos sin exponer secretos?
• ¿Cómo se recupera una sincronización parcial?
• ¿Quién atiende incidentes y en qué horario?

Si alguna respuesta depende de compartir una contraseña personal o de conceder acceso global innecesario, la propuesta no está lista.

Seguridad#

• No compartas contraseñas, cookies de sesión, tokens, claves API ni códigos de verificación por un ticket inicial.
• No concedas acceso a todas las propiedades cuando el caso solo necesita algunas.
• Usa credenciales de organización, con rotación y revocación.
• Exige un registro de acciones y una persona responsable en ambos lados.
• Considera lectura y escritura como riesgos diferentes.
• No pruebes contra datos reales hasta que exista un plan de aceptación aprobado.

Alternativas mientras no exista API pública#

Utiliza exportaciones, documentos y flujos visibles que Holidario ya soporte para tu módulo. Si ninguna alternativa cubre el caso, solicita la integración y espera una confirmación expresa; no automatices la interfaz con credenciales de un empleado.

Qué enviar a soporte#

Incluye sistema externo, objetivo, campos necesarios, dirección de flujo, frecuencia, volumen, propiedades afectadas, fecha deseada y contacto técnico. No adjuntes secretos ni bases de datos reales. Puedes incluir ejemplos anonimizados y documentación pública del proveedor.