Límites de uso y CORS

Esta página explica los dos frenos que la API externa aplica antes de atender una petición: cuántas puede hacer tu aplicación (los límites de uso) y desde qué webs puede llamarla un navegador (CORS, el mecanismo con el que el navegador decide si una web puede leer la respuesta de otro dominio).

Los límites de un vistazo

El cupo por hora de tu clave

Las claves de las aplicaciones externas nacen con 1.000 peticiones por hora.

• El contador arranca con la primera petición y se reinicia una hora después. No es una ventana deslizante: si gastas el cupo en diez minutos, esperas los cincuenta restantes.
• Cuentan todas las peticiones que llevan una clave válida, también las que después fallan por permisos o por plan.
• Al superarlo, la respuesta es 429 con errorCode: 'RATE_LIMIT_EXCEEDED' y la cabecera Retry-After: 3600. Es el plazo máximo, no el exacto: el cupo puede volver antes si la hora empezó hace rato.

{
  "statusCode": 429,
  "message": "Límite de peticiones superado",
  "error": "TOO_MANY_REQUESTS",
  "errorCode": "RATE_LIMIT_EXCEEDED",
  "timestamp": "2026-10-08T10:15:00.000Z",
  "requestId": "550e8400-e29b-41d4-a716-446655440000"
}

Si ves en las respuestas las cabeceras X-RateLimit-Limit, X-RateLimit-Remaining y X-RateLimit-Reset, se refieren al freno general por IP y ruta, no al cupo por hora de tu clave, que no publica cabeceras propias.

Si recibes un 429, respeta Retry-After y reintenta con espera exponencial. No reintentes enseguida: cada intento cuenta.

CORS: desde qué webs se puede llamar

CORS solo afecta a las llamadas que hace un navegador. Desde tu servidor, con curl o con el SDK en Node.js o Python, no interviene.

Cada aplicación externa tiene una lista de orígenes permitidos (en la API, allowedOrigins). Se edita en su ficha, en Ajustes › Avanzado › Dominios autorizados. Un origen es solo esquema, dominio y, si hace falta, puerto: https://app.tuempresa.com, sin ruta ni barra final.

• Si la lista tiene entradas y la petición llega desde un origen que no está en ella, la respuesta es 403 con ORIGIN_NOT_ALLOWED.
• Si la lista está vacía, la aplicación no restringe el origen, pero el navegador tampoco podrá leer la respuesta salvo que el origen esté autorizado en la plataforma (403 con CORS_ORIGIN_NOT_ALLOWED). Para llamar desde una web, declara su origen.

Comodines

Puedes usar * para cubrir subdominios, con estas reglas:

El comodín no se admite en el dominio principal ni en la extensión (.com, .es), y el puerto, si lo pones, tiene que ser un número. Al guardar, los patrones que no cumplan las reglas se rechazan con el motivo.

Siguiente paso

Prepara tu integración para los fallos en Errores, identificador de petición y reintentos.