Autenticação
A chave de API, o cabeçalho e o que fazer se ela vazar.
Toda chamada leva a chave no cabeçalho Authorization, no esquema Bearer. Não há login, sessão nem cookie: a API é servidor a servidor.
HTTP
GET /api/v1/conta HTTP/1.1
Host: frotasimples.com
Authorization: Bearer fs_live_XXXXXXXXXXXX_YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYA chave pertence à Conta
A chave fixa a Conta: nenhuma rota recebe o id da Conta, e um recurso de outra Conta responde 404 — não 403 — para não confirmar que o id existe em outro lugar. A chave age em nome da Conta, não de um membro: o que ela pode fazer é decidido pelos escopos marcados na criação.
Guarde a chave como senha
- Nunca coloque a chave em código de navegador ou aplicativo. A API não responde a CORS, de propósito.
- Nunca versione a chave no repositório; use variável de ambiente ou cofre de segredos.
- Uma chave por integração: revogar a do ERP não derruba a da planilha.
Se a chave vazar
Revogue-a na tela de Integrações e crie outra. A revogação vale na hora; chamadas com a chave antiga passam a responder 401 com o código chave_revogada.