Autenticación

x-api-key en el header, nunca en la query string. Creación y revocación desde la consola.

El header

Todas las llamadas requieren el header x-api-key. Nunca en la query string: una clave en la URL queda en logs, en historiales y en referers, y el gateway la rechaza con 401.

Las claves se crean y se revocan desde la consola. No hay rotación automática: creá la clave nueva, migrá tus servicios, revocá la vieja.

Headers que devolvemos

El contrato documentado y soportado es X-RateLimit-* y X-Quota-*. El par del draft del IETF se emite como extra de compatibilidad futura; las variantes peladas, nunca.

Header	Qué dice
`X-Request-Id`	ULID de 26 caracteres. Va en TODA respuesta, incluidas las de error. Es lo que se cita para reclamar un crédito de SLA.
`X-RateLimit-Limit`	Tokens por segundo de tu plan en esta API.
`X-RateLimit-Remaining`	Tokens que te quedan en la ventana.
`X-RateLimit-Reset`	Timestamp epoch del reset de la ventana.
`X-Quota-Limit`	Unidades incluidas en el período.
`X-Quota-Remaining`	Unidades que te quedan, con reservas contabilizadas.
`X-Quota-Reset`	Timestamp epoch de tu fecha de renovación.
`Retry-After`	Segundos enteros, nunca HTTP-date: es inmune al desfasaje de reloj del cliente.
`Server-Timing`	Tiempo de gateway, en milisegundos.
`X-Sandbox`	Solo con `tb_test_`: vale `examples`.
`X-Cache`	Solo familia scrapeada: `hit`, `miss` o `stale`. Explica por qué la misma llamada costó 1 unidad o 20.
`X-Data-Captured-At`	Solo familia scrapeada: cuándo se capturó el dato del sitio de origen.
`Deprecation`	Con `Sunset`, cuando la versión que estás usando ya no es la activa.