> ## Documentation Index
> Fetch the complete documentation index at: https://docs.scanova.io/llms.txt
> Use this file to discover all available pages before exploring further.
# Subir un archivo
> POST /media/
Sube un archivo, en el host de la **API de gestión** (`api.scanova.io`), autenticado con su clave de API de gestión sin procesar.
```
POST https://api.scanova.io/media/
Authorization: 401f7ac837da42b97f613d789819ff93537bee6a
Content-Type: multipart/form-data
```
El archivo a subir. Se requiere `file` o `upload`.
Alias de `file` — proporcione uno u otro.
Categorías separadas por comas contra las que restringir la validación (`image`, `video`, `audio`, `pdf`, `doc`, `script`). Consulte [Listar tipos de archivo permitidos](/es/api-reference/management-api/user-media/allowed-files) para conocer los criterios de aceptación de cada categoría.
Cómo se usa este archivo: `avatar`, `qr_logo`, `qr_content`, `poster`, `qr_image`, `profile_pic`, `banner`, `smart`, `thumbnail`, o `unknown` (predeterminado).
Etiqueta de categoría de texto libre, p. ej. un slug de categoría de QR o `"Custom Design"`.
El id de un lote de medios masivos, de [Crear un lote de medios masivos](/es/api-reference/management-api/user-media/bulk-create), para asociar esta subida a él.
```bash cURL theme={null}
curl -X POST "https://api.scanova.io/media/" \
-H "Authorization: 401f7ac837da42b97f613d789819ff93537bee6a" \
-F "file=@logo.png" \
-F "in_use=qr_logo" \
-F "category=custom-design"
```
```json 201 theme={null}
{
"id": 4821,
"file": "media/uploads/104/2026/09/20260908_512873_logo.png",
"upload": null,
"file_name": "20260908_512873_logo.png",
"size": 48213,
"human_readable_size": "47.08 KB",
"original_name": "logo.png",
"bulk_media": null,
"mime_type": "image/png",
"file_type": "png",
"in_use": "qr_logo",
"category": "custom-design",
"created": "2026-09-08T10:15:32.120Z",
"modified": "2026-09-08T10:15:32.120Z"
}
```
## Validación
* **Extensión y tipo MIME** deben estar ambos en la lista de permitidos de la categoría `file_type` detectada — una discrepancia (p. ej. una extensión `.png` en un archivo que en realidad es un PDF) se rechaza.
* **Tamaño** se comprueba contra el límite de la categoría — excepto para archivos `pdf`/`doc`, donde la cuota del plan `DOCUMENT_FILE_SIZE` de la cuenta (en MB) sustituye al límite estático.
* **JavaScript** (`.js`) subido se analiza para confirmar que es JS sintácticamente válido antes de la comprobación de tamaño.
* **SVGs** se escanean en busca de scripts incrustados y se rechazan si se encuentra alguno.
* Los archivos sin extensión se rechazan por completo.
`400` ante cualquiera de los errores de validación anteriores, con un mensaje que identifica el problema.
## Relacionado
* [Listar archivos subidos](/es/api-reference/management-api/user-media/list) — ver lo que ya se ha subido.
* [Listar tipos de archivo permitidos](/es/api-reference/management-api/user-media/allowed-files) — validar en el cliente antes de subir.
* [Eliminar un archivo](/es/api-reference/management-api/user-media/delete) — eliminar uno.
* [Resumen de la API de gestión](/es/api-reference/management-api/overview) — el esquema de autenticación y las reglas de cuota que se aplican a este endpoint.
## OpenAPI
````yaml api-reference/openapi/management-api.json POST /media/
openapi: 3.1.0
info:
title: Scanova Management API (v2)
description: >-
The complete Scanova Management API — every endpoint available at
api.scanova.io (QR codes, folders, tags, leads, forms, analytics, plans,
shared users & roles), plus the token-creation and usage-stats endpoints
used to authenticate against it. Every path and request/response shape below
was verified live against a real API key and the actual running backend
(Phase 7, 2026-08-16) — not guessed from reading urls.py alone.
version: 2.0.0
servers:
- url: https://api.scanova.io
description: Management API — QR/folder/tag/lead/form/analytics/plans endpoints
security:
- apiKeyAuth: []
paths:
/media/:
post:
summary: Upload a file
description: >-
Multipart file upload. Validates extension, MIME type, and size against
the file_type's allow-list (or the account's DOCUMENT_FILE_SIZE quota
for pdf/doc files); JavaScript uploads are additionally parsed to
confirm they're syntactically valid, and SVGs are scanned for embedded
scripts.
operationId: uploadMedia
requestBody:
content:
multipart/form-data:
example:
file: (binary file)
in_use: qr_logo
category: custom-design
responses:
'201':
description: File uploaded.
content:
application/json:
example:
id: 4821
file: media/uploads/104/2026/09/20260908_512873_logo.png
upload: null
file_name: 20260908_512873_logo.png
size: 48213
human_readable_size: 47.08 KB
original_name: logo.png
bulk_media: null
mime_type: image/png
file_type: png
in_use: qr_logo
category: custom-design
created: '2026-09-08T10:15:32.120Z'
modified: '2026-09-08T10:15:32.120Z'
'400':
description: >-
Missing file, no extension, MIME/extension mismatch, invalid
JavaScript, SVG failed the XSS scan, or file size exceeds the
allowed limit.
components:
securitySchemes:
apiKeyAuth:
type: apiKey
in: header
name: Authorization
description: >-
Send your Management API key as the raw value of the Authorization
header — no "Bearer " or "Token " prefix, and no other characters.
Example: `Authorization: 401f7ac837da42b97f613d789819ff93537bee6a`. A
header containing more than one space-separated part is rejected
outright. Requests also require the request's Host header to be the
management API host (e.g. api.scanova.io) — the same key sent to the
regular API host will not authenticate.
````