Skip to main content
Toda chamada à API leva a chave de API do parceiro no header Authorization, com o esquema Bearer:
O modelo é simples de propósito: não há OAuth nem troca de token. A mesma chave acompanha todas as requisições.

O que você faz com a chave

  • Receba a chave pelo time de integrações. Há uma chave para dev e outra para produção.
  • Guarde a chave apenas no servidor, em um cofre de segredos ou em variável de ambiente. Ela nunca deve ir para o navegador, para o app do cliente nem para o repositório de código.
  • Envie a chave em toda requisição, no header Authorization: Bearer <chave do parceiro>. O esquema Bearer não diferencia maiúsculas de minúsculas.
  • Solicite a rotação ao time de integrações quando quiser trocar a chave ou suspeitar de vazamento.

Erros de autenticação

Por segurança, chave ausente, malformada, inválida ou revogada recebem a mesma resposta:
Nesse caso, confira a chave e o header antes de chamar de novo: repetir a mesma requisição produz o mesmo resultado.
Uma chamada de um IP fora da allowlist de entrada é bloqueada na camada de gateway/WAF, antes de a chave ser conferida, e recebe 403 sem o envelope de erro. Veja Como integrar.