Tokens
Gestión de Personal Access Tokens (PAT) para integraciones externas (ERP, scripts automatizados). Cada token autentica durante 90 días desde su emisión; expires_in_days (1 a 365) define la fecha informada en expires_at.
Listar tokens vigentes del usuario
Retorna los tokens del usuario autenticado que no están revocados ni expirados, ordenados del más reciente al más antiguo. Incluye tanto los Personal Access Tokens creados con `POST /tokens` como los tokens de sesión emitidos por `POST /auth/login` (estos últimos tienen como `name` el email del usuario). No incluye el valor del token ni el campo `revoked`. Las fechas se serializan en ISO 8601 UTC.
Crear Personal Access Token
Genera un nuevo Personal Access Token para el usuario autenticado. El valor (`data.token`) solo se expone en esta respuesta: guárdelo de inmediato. Límite: 10 intentos por usuario (por defecto) en una ventana de 24 horas contada desde el primero; cuentan todas las peticiones autenticadas a este endpoint, incluidas las rechazadas con 422 o 500, no solo las creaciones exitosas. Al superarlo responde 429. Aplica además el límite general de la API (60 peticiones por minuto).
Detalle de un token
Retorna los metadatos de un token del usuario autenticado, esté vigente, revocado o expirado. El valor del token no está disponible.
Revocar un token
Revoca de inmediato el token indicado del usuario autenticado. Es idempotente: revocar un token ya revocado también responde 200. Si se revoca el mismo token usado en la petición, las siguientes llamadas con él responderán 401.
Revocar todos los tokens
Revoca todos los tokens del usuario autenticado: Personal Access Tokens, tokens de sesión de `POST /auth/login` y el propio token usado en esta petición, que deja de funcionar al terminar. Útil si las credenciales se vieron comprometidas. El número del mensaje corresponde a los tokens que no estaban revocados (incluye los expirados). No requiere cuerpo.
Renovar un token
Crea un token nuevo con los mismos alcances (o `*` si no tenía) y nombre `{nombre anterior} (renovado)`, y revoca el anterior. La vigencia del nuevo token es siempre de 90 días (por defecto), sin importar la del original. El token original puede estar vigente, revocado o expirado. El nuevo valor (`data.token`) solo se expone en esta respuesta. No requiere cuerpo y no cuenta para el límite diario de `POST /tokens`.