Skip to main content
A API pública autentica por instância. Não há OAuth nem chave de conta: cada instância tem um id e um token, e os dois vão na URL.
Os dois valores estão no painel, na aba Dados da instância › Credenciais, e também em GET /me.

​
Camadas

A ordem de verificação em cada requisição é: rate limit → token da instância → Client-Token → IP → assinatura ativa (402 só em endpoints de envio).

​
Boas práticas

  • Trate o token como senha. Guarde em variáveis de ambiente ou cofre de segredos; nunca em código versionado, front-end ou logs de acesso (a URL inteira costuma ir para logs de proxies e CDNs — mascare-a).
  • Um token por integração não é possível hoje (é um por instância). Se vários sistemas usam a mesma instância e um deles vazar, gere um novo token e atualize todos.
  • Ative o Client-Token se a URL da API puder aparecer em lugares que você não controla (planilhas, ferramentas no-code compartilhadas).
  • Use a allowlist quando os envios saem de IPs fixos (servidores próprios, NAT gateway).

​
Erros de autenticação