Skip to main content
Três segredos, três formas de trocar. Nenhum deles tem período de convivência exceto o segredo do webhook — planeje a troca com isso em mente.

​
Roteiro para um token vazado

1

Gere o token novo

No painel, em Credenciais da instância, clique em Gerar novo token e confirme. A partir desse instante, requisições com o token antigo recebem 401 instance_not_found.
2

Atualize as integrações

Troque o valor em todos os sistemas que usam a instância. Se você guarda a URL completa (com o token) em ferramentas no-code, é aqui que vai doer — prefira guardar instance_id e token separados.
3

Confira os logs de webhook e a fila

Um token vazado pode ter sido usado para enviar mensagens. Veja GET /queue (e limpe com DELETE /queue se houver envios estranhos) e os Logs de webhook no painel.
4

Feche a porta

Ative o Client-Token e, se os envios saem de IPs fixos, a allowlist. Assim uma URL vazada sozinha não basta.
A rotação do token da instância não desconecta o número nem mexe na fila — a sessão do WhatsApp continua ativa.

​
Troca do segredo do webhook sem perder entregas

  1. Chame POST /webhooks/secret; guarde o novo secret.
  2. Faça o seu endpoint aceitar os dois segredos por algumas horas (o suficiente para a última tentativa de reenvio, que acontece 6 h depois da primeira falha).
  3. Remova o antigo.

​
Desconectar de vez

Se o número em si foi comprometido (celular perdido, por exemplo), use POST /disconnect para encerrar a sessão do WhatsApp. A instância volta para qr e nada pode ser enviado até uma nova leitura. No celular, confira Aparelhos conectados e remova sessões desconhecidas.