Headers estándar

Headers de request

Header	Obligatorio	Descripción
Authorization	Sí (salvo endpoints públicos)	Bearer <idToken> de Cognito
Content-Type	En requests con body	Siempre application/json
X-Idempotency-Key	Opcional	UUID generado por el cliente para reintentar mutaciones sin duplicar efectos. Ya está permitido en CORS; la deduplicación server-side está en el backlog — por ahora mándalo, no estorba y quedará activo cuando se implemente.

Headers de response

Hoy todas las respuestas devuelven:

Header	Valor
Content-Type	application/json
Access-Control-Allow-Origin	* (pendiente restringir a los orígenes app.*.lade.com.mx por entorno)

CORS

Métodos permitidos: GET, POST, PUT, PATCH, DELETE, OPTIONS. Headers permitidos: Content-Type, Authorization, X-Idempotency-Key. Los preflights OPTIONS los responde API Gateway directamente (mock integration), y los errores que no llegan a Lambda (401/403 del authorizer) también devuelven headers CORS vía gateway responses — si ves un error CORS en el navegador, casi siempre el problema real es un 401 subyacente: revisa el token antes que la config de CORS.

En camino (plan de estandarización)

Definidos en lade-infra/docs/plan-api-dominios-y-robustez.md, se documentarán aquí cuando estén desplegados:

• X-Request-Id (request y response) — correlación cliente ↔ CloudWatch para soporte.
• X-Api-Version (response) — versión del contrato en formato fecha.
• Headers de seguridad (response) — Strict-Transport-Security, X-Content-Type-Options, Cache-Control: no-store.