Controla quién puede ver y operar

La autorización del panel y la autorización para reproducir son cosas distintas. Una persona puede ver un enlace válido sin tener una cuenta que le permita administrar la biblioteca.

Cuentas, roles y entornos

El panel usa sesiones HttpOnly con correo y contraseña. Las organizaciones tienen miembros y roles; los permisos se aplican también en el servidor. Selecciona el entorno adecuado antes de crear tokens, compartir contenido o consultar datos.

Los administradores gestionan miembros, invitaciones, tokens y destinos de webhooks. Un lector puede consultar los recursos permitidos, pero las operaciones de escritura requieren su permiso correspondiente.

Protección de la cuenta

Mi cuenta permite configurar MFA TOTP y diez códigos de recuperación de un uso. La recuperación por correo necesita SMTP y no elimina MFA; restablecer la contraseña revoca las sesiones y enlaces anteriores. La configuración de claves y la entregabilidad corresponden al operador.

Tokens de integración

Las rutas compatibles /video/v1, /system/v1 y /data/v1 usan autenticación Basic con el ID y el secreto del token. El SDK la configura por ti. La API nativa /v1 mantiene autenticación Bearer.

Usa tokens con los permisos mínimos necesarios, guárdalos en tu backend y rótalos si sospechas una exposición. Los ejemplos de documentación no contienen credenciales reales.

Reproducción pública y firmada

Pública: cualquiera que reciba el enlace puede reproducir mientras el playback ID siga activo.
Firmada: tu backend genera una autorización temporal con una clave de firma. La expiración y los claims definen el alcance del acceso.

Las playlists, segmentos, miniaturas y otros recursos protegidos también requieren autorización. No expongas la clave privada en el navegador para firmar URLs.

Las restricciones de dominios y agentes de usuario se configuran por entorno y mediante claims firmados. No equivalen a DRM y no impiden recuperar contenido ya descargado.

Los recortes instantáneos firmados limitan segmentos y recursos asociados. Un recorte público usa parámetros que se pueden quitar; no lo uses como frontera de autorización.

Compartir desde el panel

Abrir el cuadro de compartir no hace público un asset. La creación de un enlace permanente es una acción explícita con permisos de escritura. Los accesos temporales vencen y deben renovarse.

Instalación propia

Sirve el panel y los medios mediante HTTPS. Conserva secretos y configuración fuera de Git, protege los archivos de credenciales y mantén copias de seguridad verificadas. El acceso al almacenamiento firmado depende de que el dominio público y el proxy conserven las rutas y el host esperados.