## Autenticação entre servidores

A API B2B usa o header `X-API-Key`. A chave determina o Tenant e o ambiente; não envie um identificador de outra empresa para tentar trocar esse escopo. As credenciais da API não são o login do Portal nem tokens do navegador.

```http
X-API-Key: REPLACE_ON_YOUR_SERVER
```

## Proteja o segredo

- Armazene a chave em um gerenciador de segredos ou configuração protegida do servidor.
- Nunca a inclua em JavaScript público, URLs, aplicativos distribuídos, repositórios ou chamados de suporte.
- Registre somente dados operacionais necessários. Mascare headers e dados pessoais nos logs.
- Separe credenciais e configuração por ambiente. Use apenas as permissões necessárias à integração.

Se suspeitar de exposição, interrompa o uso da chave comprometida, coordene revogação e substituição com o responsável pelo ambiente e confirme que os consumidores passaram a utilizar a nova credencial. A rotação não deve depender de alterar o aplicativo da pessoa verificada.

## Diagnóstico de acesso

`401` pode indicar chave ausente, inválida, revogada ou incompatível com o ambiente. `403` também pode representar ambiente desabilitado, permissão insuficiente ou IP não autorizado, conforme a operação. Não faça repetição infinita nesses casos.

Os downloads têm autorização própria; possuir uma transação não libera automaticamente seus arquivos. Veja [documentos e evidências](/pt-BR/desenvolvedores/kyc/documentos-e-evidencias) e consulte os códigos na [referência](/pt-BR/desenvolvedores/kyc/referencia).