Autenticação entre servidores
A API B2B usa o header X-API-Key. A chave determina o Tenant e o ambiente; não envie um identificador de outra empresa para tentar trocar esse escopo. As credenciais da API não são o login do Portal nem tokens do navegador.
X-API-Key: REPLACE_ON_YOUR_SERVERProteja o segredo
- Armazene a chave em um gerenciador de segredos ou configuração protegida do servidor.
- Nunca a inclua em JavaScript público, URLs, aplicativos distribuídos, repositórios ou chamados de suporte.
- Registre somente dados operacionais necessários. Mascare headers e dados pessoais nos logs.
- Separe credenciais e configuração por ambiente. Use apenas as permissões necessárias à integração.
Se suspeitar de exposição, interrompa o uso da chave comprometida, coordene revogação e substituição com o responsável pelo ambiente e confirme que os consumidores passaram a utilizar a nova credencial. A rotação não deve depender de alterar o aplicativo da pessoa verificada.
Diagnóstico de acesso
401 pode indicar chave ausente, inválida, revogada ou incompatível com o ambiente. 403 também pode representar ambiente desabilitado, permissão insuficiente ou IP não autorizado, conforme a operação. Não faça repetição infinita nesses casos.
Os downloads têm autorização própria; possuir uma transação não libera automaticamente seus arquivos. Veja documentos e evidências e consulte os códigos na referência.