Autenticacion

Cada petición a /cliente lleva la API key en un header.

Dato	Valor
Esquema	`ApiKeyAuth`
Header	`X-API-Key`
Formato	token opaco, no es un JWT
Prefijo	no anteponga `Bearer`

curl -sS -X POST "$BASE_URL/cliente/sandbox/ping" \
  -H "X-API-Key: $API_KEY" \
  -H "Accept: application/json"

No hay login público para terceros. La key se emite de forma interna y se entrega una sola vez. Si se pierde, Horus emite otra y la anterior deja de servir.

Código	Cuándo
401	Falta el header, o la key es inválida o fue revocada
403	La empresa está inactiva, o la IP de origen no está en la lista de esa key

Si la lista de IPs de la key está vacía, cualquier IP autenticada puede llamar. Si Horus registró direcciones, una IP fuera de esa lista recibe 403 con {"detail": "IP no autorizada para esta API key"}.

El panel de operación usa otro esquema (Authorization: Bearer). No mezcle ese token con la API key de este contrato.