Credenciais de API
Sua conta tem um par de chaves: a chave pública (PUB-…) identifica a conta; a chave secreta (SEC-…) prova que a chamada é sua. As duas juntas são trocadas por um token.
Onde obter
- Entre no painel e abra Perfil (também aparece no Painel inicial).
- Copie a chave pública e a chave secreta.
- Para gerar um novo par, use Gerar novas chaves. As chaves antigas deixam de valer imediatamente (os tokens já emitidos continuam válidos até expirarem).
Como guardar
| Faça | Não faça |
|---|---|
| Guarde a chave secreta em variável de ambiente ou cofre de segredos (Vault, AWS/GCP Secret Manager, Doppler…). | Colocar a chave no código-fonte, em repositórios, em front-end, app móvel, planilhas ou chats. |
| Use chaves e tokens diferentes por ambiente (homologação × produção). | Reutilizar a chave de produção em testes ou em máquinas de desenvolvedores. |
| Restrinja quem lê o segredo e registre acessos. | Enviar a chave a um assistente de IA ou colá-la em prompts/tickets. |
| Rotacione periodicamente e sempre que alguém com acesso sair da equipe. | Registrar cabeçalhos Authorization em logs. |
Rotação sem indisponibilidade
- Gere o novo par no painel (as chaves antigas passam a ser recusadas em POST /api/auth).
- Atualize o cofre de segredos e reinicie/recarregue seus serviços — eles pedirão um novo token com as chaves novas.
- Tokens emitidos antes seguem funcionando até expires_in; em incidente, peça ao suporte para revogá-los.
Como o SharkPay protege o segredo
A chave secreta é armazenada criptografada em repouso (chave da aplicação) e comparada em tempo constante. O endpoint de autenticação tem limite de 10 tentativas por minuto por IP. Mesmo assim, trate a chave como a senha da sua conta financeira.