Seguridad

Credenciales de sandbox y producción

Cada key opera en un solo entorno y con un solo nivel de permisos. Dale a cada proyecto y a cada agente lo justo.

Entornos

`tph_test_…`	Talo sandbox: plata de prueba, transferencias simuladas.
`tph_live_…`	Talo producción: plata real.

Permisos

Scope	Puede	Para
`read`	Consultar pagos, links de pago, eventos, la cuenta y su configuración, saldo y movimientos (cuando Talo los habilita), la lista de keys y de webhooks, y el checklist.	Reportes, agentes de soporte.
`charge`	Lo anterior, más crear pagos, crear y desactivar links de pago, simular transferencias y probar webhooks.	El servidor de un checkout, un agente que cobra.
`full`	Todo: reembolsos, cambios de monto, keys y webhooks.	La persona dueña de la cuenta.

Solo una key full (o el dashboard) puede crear keys, de cualquier scope; las nuevas son charge si no pedís otro. Lo que queda fuera del scope de una key responde 403 insufficient_scope, y el MCP directamente no le muestra esas herramientas al agente.

Cómo obtenerlas

Agentes: MCP con OAuth. La persona elige entorno y permisos en el navegador y la key nunca aparece en el chat.
Terminal: npx talo-hub login guarda una key personal en tu configuración local.
Proyectos: una key propia, con el permiso justo.

terminal

claude mcp add --transport http talo https://talopartnerhub.vercel.app/api/mcp         # agente, con OAuth
npx talo-hub keys create --name mi-tienda --scope charge          # sandbox
npx talo-hub keys create --name mi-tienda --scope charge --production

Reglas

Guardalas en variables de entorno del servidor o en un gestor de secretos (TALO_HUB_API_KEY). Nunca en el código del navegador, el repo, los logs ni el chat.
Una key por proyecto y entorno, con nombre, para poder revocarla sola.
charge para checkouts y agentes; full, solo para personas.
Sandbox en desarrollo y preview; producción solo en el deploy que atiende compradores reales.
Para rotar: creá la nueva, desplegala y revocá la vieja con npx talo-hub keys revoke <id>. Si una se filtra, revocala ya.
El secreto del webhook (whsec_…) se muestra una vez: guardalo igual que una key.

En producción, el agente pide confirmación antes de reembolsar, cambiar un monto o crear una key, diciendo qué pago y cuánto.