Permisos

Las cuatro capas

1. Sobre qué datos. Un token solo alcanza las empresas que se eligieron al crearlo: su cuenta principal, otras empresas que administra quien lo crea y, si se eligen, grupos enteros, que incluyen sus filiales (también las que se den de alta más adelante). Elegir una empresa no añade el resto de su grupo. Las rutas con companyId comprueban que la empresa esté en ese alcance; si no, responden 403 o 404 sin revelar datos ajenos. La lista de empresas de un token la devuelve GET /auth/whoami (Primeros pasos).
2. Qué puede hacer. Los permisos tienen la forma área:recurso.acción, por ejemplo sales:invoices.read. Cada ruta exige uno y el token debe tener una concesión que lo cubra.
3. Condiciones. Fecha de caducidad, direcciones IP permitidas y acceso a datos personales (Autenticación).
4. Cuotas. Límite de peticiones por minuto del token, dentro del de la cuenta y del usuario (Límites de uso).

Niveles

Al crear un token eliges un nivel para cada área o recurso:

Escribir no implica leer: el nivel Escribir de la pantalla guarda las dos concesiones, la de lectura y la de escritura.

Gramática de concesiones

Un token guarda una lista de concesiones. De la más amplia a la más concreta:

Un token de cliente solo acepta concesiones que abran permisos del catálogo público. Si una concesión abriría algo interno de BMC, se rechaza entera en lugar de recortarse en silencio.

Acciones críticas

Además de leer, crear, modificar y borrar, algunas acciones son irreversibles o tienen efecto fuera de la plataforma: emitir una factura, presentar un modelo a la AEAT, enviar un documento al cliente final, anular, fusionar, contabilizar o conciliar. Son las acciones críticas.

Las acciones críticas no las cubre el nivel Escribir. Solo las abren Full (área:* o área:recurso.*) o el nombre exacto de la acción, elegido en Avanzado. En el catálogo van marcadas.

Catálogo completo

El catálogo público tiene 154 permisos en 14 áreas y 50 recursos; 28 son acciones críticas. Los recursos marcados como «Datos personales» devuelven NIF, IBAN, teléfono, fecha de nacimiento o domicilio, que salen enmascarados si el token no tiene el permiso de datos personales. Añadir un permiso al catálogo no concede nada a nadie: cada token guarda solo lo que se eligió al crearlo.

Contactos contacts:*

Recurso	Acciones
Contactos contacts:contacts.* Datos personales	contacts:contacts.read Leer contacts:contacts.create Crear contacts:contacts.update Modificar contacts:contacts.delete Borrar contacts:contacts.merge Fusionar Acción crítica contacts:contacts.transition Cambiar de fase Acción crítica
Cuentas y sociedades contacts:accounts.* Datos personales	contacts:accounts.read Leer contacts:accounts.create Crear contacts:accounts.update Modificar contacts:accounts.delete Borrar contacts:accounts.merge Fusionar Acción crítica
Titularidad real y participaciones contacts:ownership.* Datos personales	contacts:ownership.read Leer contacts:ownership.create Crear contacts:ownership.update Modificar contacts:ownership.delete Borrar

CRM y expedientes crm:*

Recurso	Acciones
Expedientes crm:cases.*	crm:cases.read Leer crm:cases.create Crear crm:cases.update Modificar
Citas crm:appointments.*	crm:appointments.read Leer crm:appointments.create Crear crm:appointments.update Modificar crm:appointments.cancel Cancelar Acción crítica
Consultas al equipo crm:tickets.*	crm:tickets.read Leer crm:tickets.create Crear crm:tickets.update Modificar crm:tickets.delete Borrar

Ventas sales:*

Recurso	Acciones
Facturas, proformas y rectificativas sales:invoices.*	sales:invoices.read Leer sales:invoices.create Crear sales:invoices.update Modificar sales:invoices.delete Borrar sales:invoices.issue Emitir Acción crítica sales:invoices.send Enviar Acción crítica sales:invoices.pay Registrar cobro o pago Acción crítica sales:invoices.void Anular Acción crítica sales:invoices.import Importar histórico Acción crítica
Perfiles de emisor y series sales:issuer_profiles.*	sales:issuer_profiles.read Leer sales:issuer_profiles.create Crear sales:issuer_profiles.update Modificar
Catálogo de servicios sales:services.*	sales:services.read Leer sales:services.create Crear sales:services.update Modificar

Compras purchases:*

Recurso	Acciones
Facturas de proveedor y gastos purchases:documents.*	purchases:documents.read Leer purchases:documents.create Crear purchases:documents.update Modificar purchases:documents.delete Borrar purchases:documents.import Importar histórico Acción crítica purchases:documents.post Contabilizar Acción crítica
Proveedores purchases:suppliers.* Datos personales	purchases:suppliers.read Leer purchases:suppliers.create Crear purchases:suppliers.update Modificar
Remesas purchases:remittances.*	purchases:remittances.read Leer purchases:remittances.create Crear purchases:remittances.send Enviar Acción crítica

Contabilidad accounting:*

Recurso	Acciones
Libro diario accounting:journal.*	accounting:journal.read Leer accounting:journal.create Crear accounting:journal.update Modificar accounting:journal.delete Borrar accounting:journal.post Contabilizar Acción crítica
Plan de cuentas accounting:ledger_accounts.*	accounting:ledger_accounts.read Leer accounting:ledger_accounts.create Crear accounting:ledger_accounts.update Modificar
Inmovilizado accounting:fixed_assets.*	accounting:fixed_assets.read Leer accounting:fixed_assets.create Crear accounting:fixed_assets.update Modificar accounting:fixed_assets.delete Borrar
Ejercicios accounting:fiscal_years.*	accounting:fiscal_years.read Leer accounting:fiscal_years.create Crear accounting:fiscal_years.close Cerrar ejercicio Acción crítica
Saldos de apertura accounting:opening_balances.*	accounting:opening_balances.read Leer accounting:opening_balances.create Crear
Informes (PyG, balance, mayor) accounting:reports.*	accounting:reports.read Leer accounting:reports.export Exportar Acción crítica

Tesorería treasury:*

Recurso	Acciones
Cuentas bancarias treasury:bank_accounts.* Datos personales	treasury:bank_accounts.read Leer treasury:bank_accounts.create Crear treasury:bank_accounts.update Modificar
Movimientos bancarios treasury:bank_movements.*	treasury:bank_movements.read Leer treasury:bank_movements.create Crear treasury:bank_movements.import Importar histórico Acción crítica
Previsión de tesorería treasury:cashflow.*	treasury:cashflow.read Leer
Conciliación treasury:reconciliation.*	treasury:reconciliation.read Leer treasury:reconciliation.create Crear treasury:reconciliation.update Modificar treasury:reconciliation.reconcile Conciliar Acción crítica

Fiscal tax:*

Recurso	Acciones
Obligaciones y calendario tax:obligations.*	tax:obligations.read Leer
Perfil fiscal tax:profile.*	tax:profile.read Leer tax:profile.update Modificar
Declaraciones y justificantes tax:returns.*	tax:returns.read Leer tax:returns.create Crear tax:returns.update Modificar tax:returns.submit Presentar Acción crítica
SII tax:sii.*	tax:sii.read Leer tax:sii.submit Presentar Acción crítica
Libros registro de IVA tax:ledger_books.*	tax:ledger_books.read Leer tax:ledger_books.create Crear
Terceros (347, 349) tax:counterparties.* Datos personales	tax:counterparties.read Leer tax:counterparties.create Crear
Renovaciones anuales tax:renewals.*	tax:renewals.read Leer tax:renewals.create Crear tax:renewals.update Modificar
Notificaciones de la Administración tax:notices.*	tax:notices.read Leer tax:notices.update Modificar tax:notices.acknowledge Registrar apertura Acción crítica

Laboral payroll:*

Recurso	Acciones
Trabajadores payroll:workers.* Datos personales	payroll:workers.read Leer payroll:workers.create Crear payroll:workers.update Modificar
Códigos de cuenta de cotización payroll:contribution_accounts.*	payroll:contribution_accounts.read Leer payroll:contribution_accounts.create Crear payroll:contribution_accounts.delete Borrar
Seguridad Social (RED) payroll:social_security.*	payroll:social_security.read Leer payroll:social_security.submit Presentar Acción crítica

Documentos documents:*

Recurso	Acciones
Archivos documents:files.*	documents:files.read Leer documents:files.create Crear documents:files.update Modificar documents:files.delete Borrar
Data room documents:data_room.*	documents:data_room.read Leer documents:data_room.create Crear documents:data_room.update Modificar
Enlaces de subida documents:upload_links.*	documents:upload_links.read Leer documents:upload_links.create Crear documents:upload_links.update Modificar
Lectura automática de documentos documents:ingest.*	documents:ingest.read Leer documents:ingest.create Crear documents:ingest.update Modificar

Firma sign:*

Recurso	Acciones
Sobres de firma sign:envelopes.*	sign:envelopes.read Leer sign:envelopes.create Crear sign:envelopes.update Modificar sign:envelopes.send Enviar Acción crítica sign:envelopes.void Anular Acción crítica sign:envelopes.reissue Reemitir Acción crítica
Evidencias y PDF firmados sign:evidence.*	sign:evidence.read Leer
Verificación de códigos sign:verification.*	sign:verification.read Leer
Comunicaciones certificadas sign:certified_mail.*	sign:certified_mail.read Leer sign:certified_mail.send Enviar Acción crítica

Doctrina y normativa knowledge:*

Recurso	Acciones
Consultas vinculantes DGT knowledge:dgt.*	knowledge:dgt.read Leer
BOE knowledge:boe.*	knowledge:boe.read Leer
Búsqueda knowledge:search.*	knowledge:search.read Leer

Conectores connectors:*

Recurso	Acciones
Liquidaciones de pasarelas connectors:payouts.*	connectors:payouts.read Leer connectors:payouts.create Crear connectors:payouts.post Contabilizar Acción crítica

Cuenta account:*

Recurso	Acciones
Avisos account:notifications.*	account:notifications.read Leer account:notifications.update Modificar
Alta y datos de la cuenta account:onboarding.*	account:onboarding.read Leer account:onboarding.update Modificar

Desarrolladores developers:*

Recurso	Acciones
Credenciales developers:tokens.*	developers:tokens.read Leer developers:tokens.create Crear developers:tokens.update Modificar developers:tokens.delete Borrar developers:tokens.rotate Rotar Acción crítica
Webhooks developers:webhooks.*	developers:webhooks.read Leer developers:webhooks.create Crear developers:webhooks.update Modificar developers:webhooks.delete Borrar developers:webhooks.test Enviar prueba Acción crítica
Uso de la API developers:usage.*	developers:usage.read Leer