REST · JSON · Bearer token · Sandbox
API de merch corporativo
API REST para clientes corporativos que tienen su propio sistema de compras, ERP o plataforma de procurement y necesitan integrar la operación de merch con Cotización, pedido, estatus en tiempo real, evidencia de calidad, guía de rastreo y descarga de CFDI 4.0 sin pasar por correo electrónico.
Para qué sirve la API
La API resuelve los seis puntos de contacto entre el sistema de compras del cliente y la operación del taller: cotización con desglose por línea, MOQ, plazo, método de impresión y precio unitario en MXN antes de IVA; pedido con confirmación de brief, tallas por SKU y dirección de entrega; estatus en tiempo real con las etapas del taller (recepción, validación de arte, producción, control de calidad, empaque, entrega); evidencia de calidad con fotografía del corte y acta firmada cuando aplique muestreo AQL; guía de rastreo del operador logístico; CFDI 4.0 con descarga en XML y PDF cuando se emite.
La API no es una capa de marketing ni un carrito de compras. Es una herramienta de integración técnica para clientes con operación estructurada. Si ustedes operan con órdenes de compra en papel y un responsable que envía correo, la API no les resuelve — y está bien, no todos los clientes la necesitan.
Arquitectura y autenticación
La API expone endpoints REST con payload JSON. La autenticación se hace con Bearer token entregado al responsable técnico del cliente después de la firma del acuerdo de confidencialidad mutuo. Cada token está asociado a una cuenta de cliente y a un conjunto de scopes: cotización, pedido, estatus, evidencia, facturación. Los endpoints están documentados con OpenAPI 3.1 y el sandbox replica el comportamiento del entorno productivo con datos sintéticos.
El rate limit es de sesenta requests por minuto por token, con ventana deslizante. Cuando el sistema de procurement del cliente requiere volumen mayor, se evalúa caso por caso y se ajusta el rate limit con notificación previa. Los webhooks salen del taller hacia el sistema del cliente en eventos clave: cotización aprobada, producción iniciada, control de calidad pasado, pedido enviado, CFDI emitido. La URL del webhook se configura en el panel del cliente.
Endpoints principales
El contrato de la API se publica como referencia técnica una vez firmado el acuerdo de confidencialidad. Los endpoints principales son: POST /v1/quotes para crear cotización a partir de un brief estructurado; GET /v1/quotes/{id} para recuperar la cotización con su desglose; POST /v1/orders para confirmar un pedido a partir de una cotización aprobada; GET /v1/orders/{id} para consultar el estatus de un pedido en cualquier momento; GET /v1/orders/{id}/timeline para reconstruir el historial con timestamps por etapa; GET /v1/orders/{id}/evidence para descargar las fotos del control de calidad y, cuando aplique, el acta AQL firmada; GET /v1/orders/{id}/cfdi para descargar el CFDI 4.0 en XML y PDF; GET /v1/shipments/{tracking} para consultar la guía de rastreo del operador logístico.
El sandbox expone los mismos endpoints con datos sintéticos de clientes, productos y pedidos ya entregados. Los clientes con equipo de desarrollo propio pueden probar la integración sin afectar su operación real.
Compatibilidad con sistemas comunes
Hemos integrado la API con clientes que corren SAP Ariba, Coupa, Oracle Procurement Cloud y plataformas de procurement latinoamericanas. La integración se hace normalmente del lado del cliente: el sistema de procurement llama a la API de Corp-Merch.MX para crear cotización, recibe la respuesta estructurada, y dispara el flujo de aprobación interna antes de confirmar el pedido. La factura CFDI 4.0 se descarga del endpoint correspondiente y se concilia contra la orden de compra del ERP.
Para clientes sin integración profunda, ofrecemos un panel web con la misma información que expone la API: cotización, pedido, estatus, evidencia, guía de rastreo y descarga de CFDI. El panel es la versión humana de la API y se entrega sin costo adicional como parte del servicio.
Seguridad y cumplimiento
Los endpoints productivos corren sobre HTTPS con TLS 1.3. Los tokens Bearer se rotan cada noventa días o cada vez que el responsable técnico del cliente cambia. Los webhooks salen firmados con HMAC-SHA256 para que el sistema del cliente verifique que la llamada proviene de Corp-Merch.MX. Los datos personales tratados por la API son los necesarios para facturación y entrega — nombre, correo, RFC cuando aplique, dirección — y se manejan conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
El registro de acceso se conserva por doce meses para fines de auditoría. Cuando el cliente requiere evidencia para su propia auditoría interna o para una visita de la PROFECO o del SAT, entregamos el registro de acceso del periodo correspondiente con autorización del responsable del cliente.
Casos en los que la API no aplica
Hay tres casos en los que la API no es la herramienta adecuada. Cliente con una orden al año: el costo de integración técnica supera el beneficio de automatizar; el panel web es suficiente. Cliente sin sistema de procurement estructurado: cuando la orden se levanta por correo y se aprueba por firma autógrafa, la API agrega fricción sin simplificar. Brief exploratorio: cuando el cliente todavía no sabe exactamente qué pedir, el brief con responsable comercial sigue siendo el camino correcto. La API aplica cuando el cliente ya tiene flujo recurrente con Corp-Merch.MX y quiere automatizar.
Solicite acceso al sandbox
Si ustedes tienen equipo técnico propio y quieren evaluar la integración, les entregamos token de sandbox, documentación OpenAPI 3.1 y un caso de prueba típico. La transición a productivo se hace después de la firma del acuerdo de confidencialidad mutuo.
La API de Corp-Merch.MX es una herramienta técnica para clientes corporativos con sistema de procurement estructurado. No es un servicio de venta al consumidor final ni un carrito de compras. Los endpoints, scopes y rate limits se documentan al cliente después de la firma del acuerdo de confidencialidad. Corp-Merch.MX opera de manera independiente y la información de la API refleja las capacidades al momento de la publicación.