> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wincred.digital/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticação

> Chave de API no header Authorization, sem OAuth nem troca de token.

Toda chamada à API leva a chave de API do parceiro no header `Authorization`, com o esquema `Bearer`:

```bash theme={null}
curl "$WINCRED_API_URL/ping" \
  --header "Authorization: Bearer <chave do parceiro>"
```

O modelo é simples de propósito: não há OAuth nem troca de token. A mesma chave acompanha todas as requisições.

## O que você faz com a chave

* **Receba** a chave pelo time de integrações. Há uma chave para dev e outra para produção.
* **Guarde** a chave apenas no servidor, em um cofre de segredos ou em variável de ambiente. Ela nunca deve ir para o navegador, para o app do cliente nem para o repositório de código.
* **Envie** a chave em toda requisição, no header `Authorization: Bearer <chave do parceiro>`. O esquema `Bearer` não diferencia maiúsculas de minúsculas.
* **Solicite a rotação** ao time de integrações quando quiser trocar a chave ou suspeitar de vazamento.

## Erros de autenticação

Por segurança, chave ausente, malformada, inválida ou revogada recebem a mesma resposta:

```json theme={null}
{
  "error": {
    "code": "UNAUTHENTICATED",
    "message": "Chave de API ausente, inválida ou revogada.",
    "request_id": "0b9f3c2e-6d1a-4e8b-9c7d-2a4f6e8b0c1d"
  }
}
```

Nesse caso, confira a chave e o header antes de chamar de novo: repetir a mesma requisição produz o mesmo resultado.

> [!NOTE]
>
> Uma chamada de um IP fora da allowlist de entrada é bloqueada na camada de gateway/WAF, antes de a chave ser conferida, e recebe `403` **sem** o envelope de erro. Veja [Como integrar](https://docs.wincred.digital/api-do-parceiro/como-integrar.md#o-que-voce-informa-a-wincred).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.