# Autenticación

> Basic, Bearer, API key y los dos flujos habituales de OAuth 2.0, configurados una vez en el workspace, la colección o la carpeta y heredados por todo lo que hay debajo. Las credenciales viven en el Llavero de macOS.

## Dónde se configura

La autenticación puede definirse en cuatro niveles. Al enviar una petición, Mariner sube desde ella hasta encontrar un ajuste concreto:

1. La pestaña **Auth** de la propia petición.
2. La **carpeta** más cercana con un override (carpeta → *Edit Auth…*).
3. La **colección** (clic derecho → *Edit Auth…*).
4. El **workspace** (menú **Workspace → Edit Auth…**).

Las peticiones y colecciones nuevas vienen en **Inherit**, así que en la práctica configuras la colección una vez y te olvidas. Elegir **No Auth** en cualquier nivel corta la búsqueda: esa petición sale sin autenticar aunque el workspace tenga un token.

Todos los campos de texto del editor de auth aceptan `{{variables}}`, así que el propio token puede vivir en el entorno y cambiar con él.

## Tipos

- **Basic** — usuario y contraseña, enviados como cabecera `Authorization: Basic`.
- **Bearer Token** — el token va en `Authorization: Bearer …`.
- **API Key** — un nombre y un valor, enviados como **cabecera** o como **parámetro de query**.
- **OAuth2 Client Credentials** — URL de token, client ID, client secret, scope y audience opcionales. **Test fetch token** pide uno ahí mismo y muestra los primeros caracteres para que sepas que funcionó. Los tokens se cachean y se renuevan antes de caducar.
- **OAuth2 Authorization Code** — URL de autorización, URL de token, client ID, scope, redirect URI, con **PKCE (S256)** activado por defecto. **Authorize** abre el login del proveedor en una sesión web del sistema; marca **Private session** para entrar con una cuenta distinta a la de Safari. **Clear tokens** olvida la sesión. La redirect URI por defecto es `mariner://oauth/callback` — regístrala en tu proveedor.

## Dónde se guardan las credenciales

Contraseñas, tokens, valores de API key, client secrets y los tokens de OAuth se escriben en el **Llavero de macOS**, no en la base de datos del workspace.

- **No se sincronizan** por iCloud. Introdúcelas una vez en cada Mac.
- **Nunca se exportan** con una colección.
- Se borran cuando se borra la petición, carpeta, colección o workspace que las contiene.

<aside class="callout" data-label="VARIABLES VS CREDENCIALES">
Un token guardado como variable de entorno se enmascara y queda fuera de las exportaciones, pero sí se sincroniza con iCloud como parte del entorno. Un token introducido en la pestaña Auth se queda en este Mac. Elige el que encaje con cómo quieres compartir la colección.
</aside>

---
Source: https://marinerhttp.dev/es/docs/auth · Mariner docs