Autenticación con OAuth 2

Dos formas de conectar

Quién conecta	Cómo	El token
Tu sistema o n8n	Una «app privada»: la crea quien tenga Integraciones en su rol, en Integraciones › Para desarrolladores, y copia su ID y su secreto.	Lo pides con client credentials. Dura una hora.
Zapier, Make y otras apps	Se conectan con «Permitir» en meruma: la persona elige la organización y acepta. Se desconectan cuando quieras, desde meruma.	Código de autorización con PKCE. Dura una hora y se renueva solo.

Los tokens actúan como la persona que conectó la app, solo con los permisos que se le dieron. Conecta apps quien tenga Integraciones en su rol; los webhooks son de dueños y administradores.

Pedir un token y usarlo

curl -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d grant_type=client_credentials \
  https://api.meruma.app/oauth/token

La respuesta trae access_token y expires_in (en segundos). Mándalo en cada pedido:

curl https://api.meruma.app/v1/contacts \
  -H "Authorization: Bearer $ACCESS_TOKEN"

Cuando vence, pide otro igual. Un token vencido o revocado responde 401.

Permisos

Cada app pide solo lo que necesita.

Permiso	Qué permite
contacts:read	Leer contactos y sus notas
contacts:write	Crear, actualizar y mandar a la papelera contactos; agregar notas
cards:read	Leer fichas, procesos, etapas y sus notas
cards:write	Crear y actualizar fichas, moverlas de etapa, etiquetas y notas
webhooks:write	Suscribir y desuscribir webhooks

GET /v1/me, la lista de usuarios y la de campos personalizados no piden permiso: cualquier integración los necesita para mapear campos y responsables.