API de Repromatronic para talleres y revendedores

Cómo funciona

Planes

Precio al mes sin IVA. Los ficheros se pagan con los créditos de la cuenta, al mismo precio que en el panel. Sin permanencia: se da de baja desde el panel.

Las claves de pruebas (rp_test_) están incluidas en todos los planes y no crean pedidos ni gastan créditos.

Autenticación

Cada petición lleva la cabecera Authorization: Bearer con una clave creada en Panel › API. Las claves rp_live_ crean pedidos reales; las rp_test_ validan todo pero no crean nada. Trata la clave como una contraseña: si se filtra, revócala en el panel.

Authorization: Bearer rp_live_0123456789abcdef0123456789abcdef

Inicio rápido

# 1) Upload permission / Permiso de subida
curl -X POST https://app.repromatronic.es/api/v1/uploads \
  -H "Authorization: Bearer rp_live_XXXXXXXX" \
  -H "Content-Type: application/json" \
  -d '{"filename":"original.bin","size":1048576}'
# → { "file_path": "...", "upload_url": "https://...", "method": "PUT" }

curl -X PUT "<upload_url>" -H "Content-Type: application/octet-stream" \
  -H "x-upsert: false" --data-binary @original.bin

# 2) Create the order / Crear el pedido
curl -X POST https://app.repromatronic.es/api/v1/orders \
  -H "Authorization: Bearer rp_live_XXXXXXXX" \
  -H "Content-Type: application/json" \
  -d '{
    "file_path": "<file_path>",
    "vehicle_category_id": "<id from /services>",
    "plate": "1234ABC", "make": "Audi", "model": "A4", "engine": "2.0 TDI 150 CV",
    "year": 2019, "power_hp": 150, "km": 85000, "gearbox": "manual",
    "tool": "KESS3", "ecu": "Bosch EDC17C74",
    "services": ["<service_id>"], "external_ref": "OT-2026-0412"
  }'
# → 201 { "order": { "id": "…", "status": "queued", "credits": 2, … } }

# 3) When order.completed arrives / Cuando llega order.completed
curl https://app.repromatronic.es/api/v1/orders/<id>/file \
  -H "Authorization: Bearer rp_live_XXXXXXXX"
# → { "url": "https://…", "filename": "…", "expires_in": 3600 }

Referencia de endpoints

Base: https://app.repromatronic.es/api/v1 · Todas las respuestas son JSON · Fechas en ISO 8601 (UTC)

Campos de POST /orders

Estados del pedido

Webhooks

Registra una URL https y los eventos que te interesan (o ninguno para recibirlos todos). Cada envío es un POST JSON firmado. Responde 2xx en menos de 8 segundos; si no, se reintenta hasta 7 veces con esperas crecientes (1 min → 12 h).

Eventos

Verificar la firma

Cabecera X-Repromatronic-Signature: t=<unix>,v1=<hex>. v1 es el HMAC-SHA256 del texto `${t}.${cuerpo}` con el secreto del webhook sin el prefijo rpwh_. Rechaza firmas con más de 5 minutos de antigüedad.

// Node.js
const crypto = require("crypto");
function verify(secret, header, rawBody) {
  const m = /t=(\d+),v1=([0-9a-f]+)/.exec(header || "");
  if (!m) return false;
  if (Math.abs(Date.now() / 1000 - Number(m[1])) > 300) return false;
  const expected = crypto.createHmac("sha256", secret.replace(/^rpwh_/, ""))
    .update(`${m[1]}.${rawBody}`).digest("hex");
  return crypto.timingSafeEqual(Buffer.from(expected, "hex"), Buffer.from(m[2], "hex"));
}

<?php // PHP
function verify(string $secret, string $header, string $rawBody): bool {
  if (!preg_match('/t=(\d+),v1=([0-9a-f]+)/', $header, $m)) return false;
  if (abs(time() - (int)$m[1]) > 300) return false;
  $expected = hash_hmac('sha256', $m[1] . '.' . $rawBody, preg_replace('/^rpwh_/', '', $secret));
  return hash_equals($expected, $m[2]);
}

{
  "id": "evt_9f2c…",
  "type": "order.completed",
  "created_at": "2026-10-11T16:20:00.000Z",
  "data": { "order": { "id": "…", "reference": "A1B2C3D4", "status": "completed", "external_ref": "OT-2026-0412", "links": { "file": "/api/v1/orders/…/file" } } }
}

Errores y límites

Los errores devuelven { error: { code, message, fields? } }. Límites: 120 llamadas por minuto por clave y las llamadas diarias y ficheros mensuales del plan. Al superarlos, 429 (con retry_after) o 402 (cupo del plan o créditos insuficientes).

Modo de pruebas

Con una clave rp_test_ todas las lecturas funcionan con tus datos reales, y las escrituras (pedidos, mensajes, revisiones, cancelaciones) se validan y devuelven la respuesta que verías en producción, sin crear nada ni gastar créditos. Para probar la entrega de webhooks usa POST /webhooks/{id}/test.

Preguntas frecuentes