Claves de API y ámbitos

Guardrail Ledger tiene un solo tipo de clave, el token de ingesta. No tiene ámbitos configurables.

Clave	Se usa para	Quién puede gestionarla
Token de ingesta	Enviar SARIF a `/api/v1/ingest/sarif` desde un pipeline. No puede leer hallazgos ni cambiar la configuración.	Propietarios y administradores del espacio de trabajo

Gestión de los tokens

Genere un token en la página Pipeline. Se muestra una sola vez y solo se conserva su hash.
Guárdelo como variable secreta. No lo ponga nunca en un archivo del repositorio ni en una captura de pantalla.
Use un token por pipeline, para poder revocar uno sin tocar los demás.
Al revocar un token, la ingesta con él se detiene de inmediato. Revoque mediante la API con DELETE /api/v1/tokens/<id>, con la sesión iniciada como propietario o administrador, con un tipo de contenido JSON y un cuerpo JSON vacío.

Cada generación y cada revocación se escribe en el registro de auditoría con quién la hizo.