Autenticación de la API de ecentic.

Todos los endpoints bajo `/api/v1` responden sin cabecera `Authorization`, igual que los documentos de descubrimiento well-known, el documento OpenAPI y la herramienta MCP `list_plans`. Un agente puede conocer toda la forma de la API — endpoints, planes, protocolos, skills, límites de tasa, códigos de error — antes de que nadie haya creado una cuenta.

El sandbox también es abierto: `POST /api/v1/sandbox/simulation` devuelve exactamente la forma de respuesta de una simulación real, calculada con puntuación sintética, de modo que se puede escribir y probar un cliente sin ninguna credencial.

Crea una cuenta y genera una clave desde el panel o llamando a la herramienta MCP `create_api_key` desde una sesión autenticada. Las claves tienen el formato `ecentic_sk_…`, son de larga duración y se muestran exactamente una vez: ecentic solo guarda un hash, así que una clave perdida se sustituye, no se recupera.

Para rotarla, genera una nueva y revoca la anterior. Nada del proceso requiere contactar con una persona.

Envía la clave como token bearer en cada petición protegida. La misma cabecera funciona en la superficie REST y en las llamadas a herramientas MCP.

No pongas la clave en la query string: las query strings acaban en registros, proxies y cabeceras referrer, y ecentic no la leerá desde ahí.

Una credencial ausente o inválida devuelve HTTP 401 con una cabecera `WWW-Authenticate` que nombra el documento de Protected Resource Metadata (RFC 9728). Seguirla lleva a los metadatos del servidor de autorización (RFC 8414), de modo que un cliente que recibe un 401 puede descubrir cómo autenticarse sin que una persona lea documentación.

En la superficie REST el cuerpo es un problema RFC 9457 con `code: "unauthenticated"`. En el endpoint MCP es un error JSON-RPC con código `-32001` y una pista `resource_metadata` en `error.data`.