Control de acceso

Una simulación desplegada responde en una URL pública. Acceso y variables, bajo Configuración en la barra lateral, decide quién puede llamarla: una key sobre la mock API, credenciales sobre el explorador de API, y una lista de IPs por encima de ambos. La misma página lleva las variables de entorno que recibe el runtime.

Los cambios se guardan con Guardar y se aplican en el próximo despliegue de la simulación; Desplegar ahora está justo al lado de la nota. Una organización también puede fijar estos valores una vez para todas sus simulaciones: un campo con la etiqueta Valor por defecto de la organización viene de ahí, y lo que pongas en la simulación lo sobrescribe campo por campo.

API key

La API key protege los endpoints del mock. Con una key puesta, cada solicitud a la simulación tiene que llevarla en el encabezado x-mockzilla-api-key; una solicitud sin ella recibe un 401. Deja el campo vacío y la API queda abierta.

curl "https://api.mockz.io/app/your-org/your-sim/petstore/pets" \
  -H "x-mockzilla-api-key: your-key"

La key se guarda tal como la escribiste y se puede volver a ver con el ícono del ojo: cuida tráfico de mock, no datos de producción. La simulación desplegada nunca tiene la key en sí, solo un resumen de ella.

El explorador de API: apagado, abierto o detrás de una contraseña

Cada simulación puede servir una interfaz navegable en su URL. Si debe hacerlo o no es una decisión por simulación, que se toma con Servir el explorador de API, en General:

• No lo necesitas: apágalo. La simulación sirve solo la API, sin interfaz. Cuantas menos puertas, mejor.
• Lo usas, pero no todo el mundo debería: déjalo encendido y pon Basic auth (interfaz del explorador). El navegador pide el usuario y la contraseña. Los endpoints del mock no se ven afectados, así que el tráfico de máquina sigue funcionando, con la API key si hay una puesta.
• Cualquiera con el enlace puede mirar: déjalo encendido y sin credenciales. Así viene por defecto.

Vale la pena tener el explorador a mano: lista cada servicio y cada endpoint, dispara solicitudes y muestra la respuesta, te entrega el comando curl equivalente, y deja recorrer el historial reciente ahí mismo.

Consulta Historial de solicitudes.

Una contraseña que nunca se guarda

El campo de la contraseña tiene dos modos. Contraseña guarda lo que escribes, igual que la API key. Pasa a Hash SHA-256 para pegar en su lugar un resumen de 64 caracteres: la simulación puede verificar contra él, y nadie, nosotros incluidos, puede leer la contraseña de vuelta.

Genera el resumen en local:

echo -n "your-password" | shasum -a 256

Lista de IPs permitidas

La lista restringe tanto la interfaz como la mock API a las IPs o rangos CIDR que anotes; quien llame desde afuera recibe un 403. Úsala cuando la simulación solo deba responder desde la red de una oficina o desde el rango de un runner de CI.

Variables de entorno

Pares de nombre y valor, entregados al runtime como entorno plano en el próximo despliegue. Se guardan tal como se ingresan, sin cifrar: una simulación sirve tráfico de prueba, así que sus variables son configuración, no secretos. Pon ahí valores de nivel mock, un token de sandbox de un upstream o un feature flag, y deja los secretos de producción afuera.

Un backend no toma variables; su runtime lo configura el producto, y la página muestra solo Acceso.