Autenticación

La API usa OAuth2 con el flujo client credentials, el mismo que usa OSIGU en su propia API.

1. Obtén tu cliente

TrustCare entrega a OSIGU un client_id y un client_secret por entorno (stage y producción), por un canal seguro y fuera de esta documentación. Guárdalos solo en el servidor.

Alcances disponibles:

Alcance	Permite
`catalog:read`	Leer el catálogo y las fichas técnicas de los procedimientos
`availability:read`	Consultar días y huecos de agenda
`cases:read`	Consultar el estado de un caso

2. Pide un token

curl -X POST "https://api-integrations.stg.trustcaremed.co/osigu/v1/oauth/token" \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials"

Respuesta:

{
  "access_token": "eyJhbGciOi…",
  "token_type": "bearer",
  "expires_in": 3600,
  "scope": "catalog:read availability:read cases:read"
}

3. Úsalo en cada llamada

curl "https://api-integrations.stg.trustcaremed.co/osigu/v1/procedures?country=CO" \
  -H "Authorization: Bearer $ACCESS_TOKEN"

Reutiliza el token hasta que venza (expires_in, en segundos). Un 401 indica que el token falta o venció; un 403, que no tiene el alcance necesario.

🚧
Pide el token solo desde un servidor
Nunca expongas el client_secret en un navegador o en una app móvil. Si se filtra, avísanos para rotarlo.

Lista de IP permitidas

En producción, TrustCare solo acepta llamadas desde las IP que OSIGU indique. Envíanos la lista antes de pasar a producción.