Autenticação
- Authorization: ApiKey
- A chave API é enviada exclusivamente no cabeçalho Authorization de POST /api/v1/auth/token. Não a coloque em JSON, URLs ou parâmetros de consulta.
- Authorization: Bearer
- Use o token retornado nas requisições de recursos e renove-o conforme expires_at; expires_in é expresso em segundos.
Porquê obter primeiro um token?
A chave API serve para obter um token. O token é válido durante 15 minutos e pode ser usado em vários pedidos. Para aceder aos recursos, envie apenas o token no cabeçalho Authorization: Bearer.
Os pedidos habituais não contêm a chave API. Um token divulgado só permite acesso até ao fim da sua validade. Uma chave API roubada pode continuar a permitir obter novos tokens.
Quanto tempo é válido um token?
- expires_in
- 900 segundos, ou seja, 15 minutos após a emissão. Os pedidos não prolongam a validade.
- expires_at
- Data e hora de expiração em UTC. As restrições de acesso atuais podem bloquear o token mais cedo.
Quando obter outro token?
Reutilize o token em vários pedidos e obtenha outro antes de expires_at. Não peça um token antes de cada operação. Use a chave API para obter o novo token.
Acesso recusado e novas tentativas
- 401
- 401 nem sempre significa que o token expirou. Se expirou, obtenha outro e repita a leitura no máximo uma vez. Se o pedido de token devolver 401, verifique a chave e pare as tentativas automáticas.
- 403
- Em caso de 403, verifique as permissões, as restrições IP e o plano. Um novo token não restabelece um acesso revogado.
Restrições de IP
- Um token de acesso não dispensa as verificações das permissões atuais da chave, dos direitos da loja, da revogação ou das restrições de IP.
- Quando apropriado, restrinja a chave aos endereços de origem da integração.
- O administrador pode editar essa lista; são aceitos no máximo 32 endereços.
Gestão de chaves
- A gestão de chaves API é independente das permissões da integração sobre os recursos.
- Apenas owner pode conceder aos grupos permissões administrativas para visualizar, criar, editar ou eliminar chaves; um membro autorizado só pode executar as ações concedidas ao seu grupo.
Limites de requisições
Engine ≥ 4.143.0. Cada resposta de token inclui data.rate_limits da política da loja no momento da emissão. Todas as chaves partilham estes limites; um novo token não os repõe. Uma alteração de plano pode aplicar-se antes de o token expirar.
- read_per_minute
- Pedidos de leitura por minuto.
- write_per_minute
- Pedidos de escrita por minuto; este valor não concede permissões de escrita.
- auth_per_minute
- Pedidos de token por minuto, incluindo tentativas de autenticação falhadas.