Apps

Crea y configura apps para acceder a X API

Las apps son contenedores para tus credenciales de API. Cada app tiene sus propias claves, tokens y configuración.

---

Credenciales de la App

Cuando creas una App, puedes generar estas credenciales:

Credencial	Caso de uso
API Key & Secret	Autenticar con OAuth 1.0a. Se usa para firmar solicitudes o generar tokens de usuario.
Access Token & Secret	Realizar solicitudes en nombre de tu propia cuenta (OAuth 1.0a).
Client ID & Secret	Autenticar con OAuth 2.0. Se usa para el flujo de código de autorización.
Bearer Token	Autenticación solo de la App para endpoints de datos públicos.

Elige OAuth 2.0 para proyectos nuevos. Ofrece scopes granulares y es obligatorio para endpoints de contexto de usuario de X API v2.

---

Creación de una App

1. Abre la Consola de desarrollador

   Ve a console.x.com e inicia sesión.

2. Haz clic en Create App

   Ingresa un nombre, una descripción y el caso de uso de tu App.

3. Genera credenciales

   Después de crearla, genera las claves y tokens que necesitas.

4. Almacena de forma segura

   Guarda estas credenciales de inmediato; solo se mostrarán una vez.

---

Permisos de la App (OAuth 1.0a)

Las Apps OAuth 1.0a tienen tres niveles de permisos:

Solo lectura

• Ver publicaciones, usuarios y datos públicos
• No permite publicar, indicar que algo te guste ni modificar nada
• No permite acceder a los Mensajes Directos

Lectura y escritura

• Todos los permisos de lectura
• Publicar y eliminar publicaciones
• Seguir y dejar de seguir usuarios
• Indicar que algo te guste y volver a publicar
• No permite acceder a los Mensajes Directos

Lectura, escritura y MDs

• Todos los permisos de lectura y escritura
• Enviar y leer Mensajes Directos

Cambiar los permisos requiere que los usuarios vuelvan a autorizar tu App para obtener nuevos tokens con el ámbito actualizado.

---

Tipos de apps OAuth 2.0

Al configurar OAuth 2.0, selecciona tu tipo de app:

Type	Client	Caso de uso
Web App	Confidencial	Aplicaciones del lado del servidor que pueden almacenar secretos de forma segura
Automated App / Bot	Confidencial	Bots y servicios automatizados que se ejecutan en servidores
Native App	Pública	Apps móviles o de escritorio que no pueden proteger secretos de forma segura
Single Page App	Pública	Apps JavaScript basadas en el navegador

Los clientes confidenciales reciben un Client Secret. Los clientes públicos utilizan únicamente PKCE.

---

URLs de callback

Las URLs de callback (URIs de redirección) son obligatorias para los flujos de OAuth. Cuando un usuario autoriza tu App, se le redirige a tu URL de callback con un código de autorización.

Requisitos

• Agrega URL de callback a la lista de permitidos de tu App en la Consola de desarrollador
• Las URL deben coincidir exactamente (incluida la barra diagonal final)
• Máximo de 10 URL de callback por App
• Usa https:// en producción
• Para desarrollo local, usa http://127.0.0.1 (no localhost)

Protocolos no permitidos

No se permite el uso de estos protocolos: javascript, data, file, ftp, mailto, telnet y otros esquemas no estándar.

Lista completa de protocolos no permitidos

vbscript, javascript, vbs, data, mocha, keyword, livescript, ftp, file, gopher, acrobat, callto, daap, itpc, itms, firefoxurl, hcp, ldap, mailto, mmst, mmsu, msbd, rtsp, mso-offdap, snews, news, nntp, outlook, stssync, rlogin, telnet, tn3270, shell, sip

---

Mejores prácticas

Usa Apps separadas

Crea Apps diferentes para desarrollo, preproducción y producción.

Rota las credenciales

Regenera las claves periódicamente y si sospechas que se han visto comprometidas.

Permisos mínimos

Solicita únicamente los permisos que tu App realmente necesita.

Supervisa el uso

Revisa con regularidad la Consola de desarrollador para supervisar el uso de la API.

---

Etiquetas de cuentas automatizadas

Si tu App ejecuta una cuenta bot, puedes etiquetarla como automatizada:

1. Ve a Settings en tu cuenta bot
2. Selecciona Your account → Automation
3. Vincula la cuenta que la administra

Esto genera confianza con los usuarios y distingue tu bot del spam.

---

Solución de problemas

Error de URL de callback no aprobada

Asegúrate de que tu URL de callback coincida exactamente con la registrada en la Consola de desarrollador, incluido el protocolo y cualquier barra diagonal final. Aplica codificación URL a la dirección cuando la pases como parámetro de consulta.

{
  "errors": [{
    "code": 415,
    "message": "Callback URL not approved for this client application."
  }]
}

App suspendida

Si tu App aparece como suspendida, revisa tu correo electrónico para ver si recibiste una notificación del equipo de la plataforma de X. Usa el Formulario de ayuda de la plataforma para apelar.