API REST para procurement en España
Acceso programático a Corp-Merch — enviar pedidos, sincronizar catálogo, recibir eventos webhook. JSON sobre HTTPS, autenticación Bearer, SLA 99,95%.
Autenticación y límites de tasa
OAuth 2.0 client credentials o tokens Bearer de larga duración (rotación cada 90 días). Base URL: https://api.corp-merch.com/v1. Límite: 600 req/min por token, pico de 60 req/seg. Payloads UTF-8 JSON; timestamps ISO 8601. Errores conforme a RFC 7807.
Resumen de endpoints
POST /v1/orders — enviar pedido de compra. GET /v1/catalog — obtener SKUs localizados (precios en EUR con IVA 21% incluido). GET /v1/orders/{id} — estado del pedido con tracking. POST /v1/webhooks — registrar URL de callback para eventos order.shipped, invoice.issued (vía FACe/SII (AEAT)), invoice.paid. Especificación OpenAPI 3.1 en /v1/openapi.json.
Cumplimiento y facturación en España
Cada pedido genera automáticamente una factura IVA 21% vía FACe/SII (AEAT) (obligatorio para B2G y B2B grandes empresas en España). XML disponible vía GET /v1/invoices/{id}; firmada con QES según eIDAS. Archivada 10 años. Webhook invoice.issued se dispara en 60 segundos tras la aceptación de FACe/SII (AEAT). Hub de Madrid procesa pedidos API el mismo día si se reciben antes de las 14:00 local.
FAQ
¿Qué autenticación usa la API?
OAuth 2.0 client_credentials que devuelve un token Bearer (expira en 1 hora). Tokens de larga duración para servidor-a-servidor con rotación a 90 días. También soportamos mTLS para clientes enterprise.
¿Cómo probar antes de producción?
Sandbox en https://api.sandbox.corp-merch.com — paridad total, catálogo de ejemplo, facturas mock. Eventos webhook reproducibles para los últimos 30 días desde el dashboard.
¿Cuál es el SLA?
99,95% uptime en los endpoints v1 (medición mensual). Status page en status.corp-merch.com con suscripciones RSS/webhook.
¿Las facturas cumplen la normativa española?
Sí — todas las facturas vía FACe/SII (AEAT) con IVA 21%. Formato Facturae 3.2.x, validado server-side antes del envío, con reporte SII a la AEAT.
¿Cómo se gestionan los reintentos de webhooks?
Backoff exponencial: 1m, 5m, 15m, 1h, 6h, 24h. Tras 6 fallos la suscripción se pausa y enviamos email de alerta. Firmados con HMAC-SHA256 en la cabecera X-Corp-Signature.