Recursos
Documentación técnica
El mismo API que usan el portal público de verificación y el informe PDF con QR — abierto por diseño, para que también lo consuma tu propio sistema.
El API de verificación
Público y sin autenticación, por defecto
Cada sesión y cada caso llevan un token propio (un GUID de 122 bits, no adivinable) que actúa como control de acceso — no hace falta JWT ni cuenta en ningún panel. Por defecto ese token ya basta; si el caso se ha marcado como privado, además exige un segundo factor (hoy, el código de una app autenticadora TOTP, de un contacto identificado por su teléfono o correo) antes de devolver nada — ver los endpoints .../private-access más abajo. Pensado para que un juzgado, una aseguradora o un despacho puedan verificar la evidencia desde su propio sistema de gestión de expedientes, no solo desde un navegador.
/api/v1/verify/{token}Detalle de una sesión de adquisición: organización, caso, examinador, fechas, y la lista de artefactos con su hash y sello RFC 3161.
/api/v1/verify/{token}/artifacts/{artifactId}Descarga directa de un artefacto de esa sesión — incluido el vídeo de la sesión, identificado como un artefacto más.
/api/v1/verify-case/{token}Detalle de un caso completo: todas sus sesiones, cada una con sus artefactos — para no tener que consultar sesión por sesión.
/api/v1/verify/{token}/locationIP y host de origen de la sesión, geolocalización aproximada, y GPS declarado por el dispositivo si lo hay.
/api/v1/verify/{token}/map.pngUn mapa (imagen PNG) del origen de la sesión, listo para incrustar en cualquier sistema propio sin procesar coordenadas.
/api/v1/verify/{token}/private-accessSolo si el caso está marcado como privado: segundo factor (código de una app TOTP de un contacto identificado por teléfono o correo) a partir del token de una sesión. Devuelve un token de acceso de 30 minutos para las llamadas siguientes.
/api/v1/verify-case/{token}/private-accessEl mismo segundo factor, a partir del token de un caso completo.
Sustituye /api/v1/... por la URL base de tu propio despliegue de Forensica.API — no hay un dominio público único, cada organización aloja su propia instancia.
Si un caso es privado, los endpoints de lectura devuelven 403 hasta que se adjunta el token obtenido en .../private-access como parámetro ?access=... en cada llamada siguiente.
Qué garantiza lo que devuelve
Cada dato del API es verificable, no una promesa
El hash SHA-256 de cada artefacto se recalculó y confirmó en servidor al recibirlo. El sello de tiempo RFC 3161 se puede validar contra la autoridad emisora — de hecho hay dos, uno del cliente y otro independiente del servidor. Los artefactos de una misma sesión están encadenados por hash, así que insertar o reordenar uno después no pasaría inadvertido. Y el fichero en sí está en almacenamiento de solo lectura desde el momento en que se aceptó.
Detalle completo del mecanismo en Seguridad y cumplimiento.
¿Integras esto en tu propio sistema?
Te ayudamos a conectar tu plataforma con el API de verificación
Cuéntanos qué sistema quieres integrar y te mostramos el camino más corto.