Desarrolladores

Última actualización: 2 de octubre de 2026

Hay tres formas de trabajar con Layer desde fuera:

• Conectar una app de IA mediante MCP, como Claude o ChatGPT. Inicias sesión en Layer y eliges qué puede hacer la app.
• La API REST para tu propio software, con una clave que creas tú.
• Webhooks: Layer avisa a tu dirección de que ha pasado algo, como una factura pagada.

1. Así sigue siendo seguro

• Nunca más que quien la creó. Una clave o app conectada nunca puede hacer más que la persona que la creó. Si cambia su rol, la clave cambia con él. Si alguien deja el equipo, su clave deja de funcionar.
• Escribir siempre es una propuesta. Nada de fuera cambia nada por sí solo en tu espacio de trabajo. Cada cambio llega a Aprobaciones y solo ocurre cuando alguien con ese permiso lo aprueba.
• El texto de fuera sigue marcado. Lo que entra por la API o MCP cuenta como texto de fuera. Una propuesta con ese texto nunca se ejecuta sola, aunque dejes que otras propuestas se ejecuten automáticamente.
• Visible y revocable. En Ajustes, Dispositivos ves cada clave y app, cuándo se usó por última vez y qué hizo. Revocarla tiene efecto inmediato.
• Un freno. Cada clave y app puede hacer 120 solicitudes por minuto. Por encima recibes un 429 con un Retry-After.

2. Crear una clave

En Layer: Ajustes, Desarrolladores, Clave de API. Ponle un nombre a la clave, elige cuánto tiempo es válida (30 días, 90 días o un año) y marca lo que puede hacer. Ves la clave una sola vez. Solo guardamos un hash, así que si la pierdes, no se recupera: revócala y crea una nueva.

Las claves pertenecen a tu propio espacio de trabajo, no a la demo. La dirección exacta de tu API y servidor MCP está en la misma página; en los ejemplos de abajo aparece https://jouw-werkplek.example.

Un permiso solo funciona si el módulo está en tu suscripción y tu rol lo permite. Los importes, como una tarifa por hora, solo los ves si tu rol puede ver dinero.

3. La API REST

Todo está bajo /api/v1. Envía la clave como Authorization: Bearer. GET /api/v1 muestra qué recursos puede leer tu clave. La descripción completa está en /api/v1/openapi.json (OpenAPI 3.1), que también se puede obtener sin clave.

Leer y paginar

curl "https://jouw-werkplek.example/api/v1/taken?status=open&per_pagina=20" \
  -H "Authorization: Bearer $LAYER_SLEUTEL"

Cada lista llega en páginas, lo más reciente primero. Con per_pagina (de 1 a 100, por defecto 50) y pagina pasas de página; volgende da la dirección de la página siguiente, o null. Filtra con status, o con sinds (una fecha u hora en ISO 8601) para obtener solo lo que ha cambiado desde entonces.

{
  "data": [ { "id": "...", "titel": "...", "status": "open", "deadline": "2026-10-03T07:00:00.000Z" } ],
  "pagina": 1,
  "per_pagina": 20,
  "totaal": 1,
  "volgende": null
}

Proponer un cambio

Con el permiso voorstellen.maken propones un registro nuevo o un cambio. La respuesta es un 202: la propuesta está lista, todavía no ha cambiado nada. Indica en waarom el motivo, y quien revisa lo verá junto a ella.

curl -X POST "https://jouw-werkplek.example/api/v1/taken" \
  -H "Authorization: Bearer $LAYER_SLEUTEL" \
  -H "Content-Type: application/json" \
  -d '{"titel": "Llamar por el presupuesto", "deadline": "2026-10-03", "waarom": "Acordado en la reunión"}'

HTTP/1.1 202 Accepted

{
  "voorstel": { "id": "...", "actie": "taak.nieuw", "titel": "...", "status": "wacht", "link": "https://jouw-werkplek.example/app/ai/goedkeuringen?id=..." },
  "uitleg": "Dit is een voorstel. Er is nog niets veranderd: het wacht in Goedkeuringen tot iemand het goedkeurt."
}

Sigue el estado con GET /api/v1/voorstellen o GET /api/v1/voorstellen/{id}; solo ves las propuestas de tu propia clave. Si prefieres un webhook, suscríbete a voorstel.goedgekeurd. Otras acciones que conoce la IA de Layer las propones con POST /api/v1/voorstellen y {"actie": "...", "gegevens": { ... }}. Si una acción no es posible, o falta algo, recibes un 422 con el motivo. Eliminar no es posible a través de la API.

Errores

Un error siempre es JSON: {"fout": {"code": "...", "melding": "..."}}, con un mensaje en lenguaje claro.

4. Webhooks

Quien gestiona las integraciones en Layer configura los webhooks en Ajustes, Desarrolladores, Webhooks: una dirección y los eventos de los que quieres recibir aviso. El secreto para comprobar la firma lo ves una sola vez.

Un mensaje es deliberadamente escueto: qué ocurrió y dónde lo lees, sin importes ni datos de clientes. El contenido lo obtienes con una clave, mediante href. El id se mantiene igual si reenviamos un mensaje, así que con él reconoces un mensaje duplicado.

POST /jouw-webhook HTTP/1.1
Content-Type: application/json
TrompTech-Event: factuur.betaald
TrompTech-Delivery: ...
TrompTech-Signature: t=1790931600,v1=...

{
  "id": "evt_...",
  "type": "factuur.betaald",
  "aangemaakt": "2026-10-02T09:00:00.000Z",
  "data": { "object": "factuur", "id": "...", "nummer": "...", "href": "/api/v1/facturen/..." }
}

Comprobar la firma

La cabecera TrompTech-Signature contiene un tiempo t (en segundos) y v1: un HMAC-SHA256 con tu secreto sobre t, un punto y el body tal como llegó. Calcúlalo tú mismo, compara en tiempo constante y rechaza los mensajes de más de cinco minutos.

import { createHmac, timingSafeEqual } from "node:crypto";

// geheim: el secreto completo del webhook, con el prefijo whsec_.
// inhoud: el cuerpo tal como llegó, como texto (no lo leas antes como JSON).
export function handtekeningKlopt(geheim, kop, inhoud) {
  const delen = new Map((kop ?? "").split(",").map(d => d.trim().split("=", 2)));
  const t = Number(delen.get("t")), v1 = delen.get("v1") ?? "";
  // Más de cinco minutos: rechazar, para que nadie pueda reproducir un mensaje antiguo.
  if (!Number.isInteger(t) || Math.abs(Date.now() / 1000 - t) > 300 || !/^[0-9a-f]{64}$/.test(v1)) return false;
  const verwacht = createHmac("sha256", geheim).update(`${t}.${inhoud}`).digest();
  return timingSafeEqual(verwacht, Buffer.from(v1, "hex"));
}

import hashlib, hmac, re, time

def handtekening_klopt(geheim: str, kop: str, inhoud: bytes) -> bool:
    delen = dict(d.strip().split("=", 1) for d in (kop or "").split(",") if "=" in d)
    t, v1 = delen.get("t", ""), delen.get("v1", "")
    if not t.isdigit() or abs(time.time() - int(t)) > 300 or not re.fullmatch(r"[0-9a-f]{64}", v1):
        return False
    verwacht = hmac.new(geheim.encode(), t.encode() + b"." + inhoud, hashlib.sha256).hexdigest()
    return hmac.compare_digest(verwacht, v1)

Entrega y reintentos

• Responde en 10 segundos con un 2xx. No seguimos redirecciones (3xx).
• Si no funciona, lo volvemos a intentar tras 1 minuto, 5 minutos, 30 minutos, 2 horas, 6 horas y 24 horas. Después el mensaje se considera fallido; puedes reenviarlo desde Layer.
• Si fallan diez mensajes seguidos, el webhook se desactiva. Lo vuelves a activar tú.
• Solo https a una dirección pública con nombre, en el puerto estándar. Una dirección que apunta a una red interna no recibe nada; lo comprobamos de nuevo en cada entrega.

5. Conectar una app de IA mediante MCP

Layer es un servidor MCP en https://jouw-werkplek.example/api/mcp (Streamable HTTP). El inicio de sesión usa OAuth 2.1 con PKCE: la app te envía a Layer, inicias sesión como siempre (con tu segundo factor si lo tienes) y eliges en la pantalla de consentimiento qué puede hacer la app.

• Claude: abre Configuración, Conectores, y añade un conector personalizado con la dirección de tu servidor MCP.
• ChatGPT: abre Configuración, Aplicaciones y conectores. En Avanzado activa el modo de desarrollador y crea un conector con la dirección, con OAuth como inicio de sesión.
• Otras apps: funciona cualquier cliente MCP con OAuth. Layer admite el registro dinámico (RFC 7591) y Client ID Metadata Documents, y publica sus datos en /.well-known/oauth-authorization-server y /.well-known/oauth-protected-resource.

Los nombres de los menús en Claude y ChatGPT a veces cambian según la versión. La app solo ve las herramientas que corresponden a los permisos elegidos. Leer es directo. Versiones del protocolo compatibles: 2026-07-28, 2025-11-25, 2025-06-18 y 2025-03-26.

Primero un plan. Un cambio suelto lo hace la app enseguida. Varios cambios a la vez, o algo que crea estructura como un proyecto con tareas, primero lo registra como plan: exactamente las acciones con sus datos. Ese plan lo ves en tu chat, y solo después de tu sí expreso Layer ejecuta exactamente esas acciones, una vez. Los cambios internos (un lead, contacto, nota, tarea, cita sin invitación, proyecto o documento) Layer los ejecuta entonces enseguida, si tu espacio de trabajo lo permite. Los vuelves a ver en Aprobaciones y ahí los deshaces. Todo lo que sale fuera o tiene que ver con dinero, como un correo, una invitación, enviar un presupuesto o una factura, sigue siendo siempre una propuesta que apruebas tú. Una sesión por MCP siempre cuenta como texto de fuera.

Una app conectada sigue funcionando hasta que la revocas en Ajustes, Dispositivos, o hasta que lleva 30 días sin usarse.

6. ¿Preguntas o has encontrado un problema?

Escribe a info@tromptech.nl. Si encuentras un problema de seguridad, comunícalo mejor de forma confidencial, como se describe en Informar de un problema de seguridad.