Autenticação
- Authorization: ApiKey
- A chave API é enviada exclusivamente no cabeçalho Authorization de POST /api/v1/auth/token. Não a coloque em JSON, URLs ou parâmetros de consulta.
- Authorization: Bearer
- Use o token retornado nas requisições de recursos e renove-o conforme expires_at; expires_in é expresso em segundos.
Por que obter um token primeiro?
A chave API serve para obter um token. O token é válido por 15 minutos e pode ser usado em várias requisições. Para acessar os recursos, envie apenas o token no cabeçalho Authorization: Bearer.
As requisições comuns não contêm a chave API. Um token vazado permite acesso apenas até expirar. Uma chave API roubada ainda pode permitir a obtenção de novos tokens.
Por quanto tempo o token é válido?
- expires_in
- 900 segundos, ou seja, 15 minutos a partir da emissão. As requisições não prolongam a validade.
- expires_at
- Data e hora de expiração em UTC. As restrições de acesso atuais podem bloquear o token antes.
Quando obter outro token?
Reutilize o token em várias requisições e obtenha outro antes de expires_at. Não solicite um token antes de cada operação. Use a chave API para obter o novo token.
Acesso negado e novas tentativas
- 401
- 401 nem sempre significa que o token expirou. Se expirou, obtenha outro e repita a leitura no máximo uma vez. Se a solicitação do token retornar 401, verifique a chave e interrompa as tentativas automáticas.
- 403
- Em caso de 403, verifique as permissões, as restrições de IP e o plano. Um novo token não restaura um acesso revogado.
Restrições de IP
- Um token de acesso não dispensa as verificações das permissões atuais da chave, dos direitos da loja, da revogação ou das restrições de IP.
- Quando apropriado, restrinja a chave aos endereços de origem da integração.
- O administrador pode editar essa lista; são aceitos no máximo 32 endereços.
Gerenciamento de chaves
- A gestão de chaves API é independente das permissões da integração sobre os recursos.
- Apenas owner pode conceder aos grupos permissões administrativas para visualizar, criar, editar ou excluir chaves; um membro autorizado só pode executar as ações concedidas ao seu grupo.
Limites de requisições
Engine ≥ 4.143.0. Cada resposta de token inclui data.rate_limits da política da loja no momento da emissão. Todas as chaves compartilham esses limites; um novo token não os reinicia. Uma mudança de plano pode valer antes de o token expirar.
- read_per_minute
- Solicitações de leitura por minuto.
- write_per_minute
- Solicitações de escrita por minuto; este valor não concede permissões de escrita.
- auth_per_minute
- Solicitações de token por minuto, incluindo tentativas de autenticação malsucedidas.