Autenticação e ambientes

Chaves de API

Cada unidade (CNPJ) tem as próprias chaves. A unidade vem sempre da chave — nunca vai no corpo da requisição.

Authorization: Bearer sk_live_ab12cd34.xxxxxxxxxxxxxxxxxxxxxxxxxxxx

Ambiente	Prefixo	URL
Produção	sk_live_	https://api.exemplo.com.br/v1
Sandbox	sk_sandbox_	https://sandbox.api.exemplo.com.br/v1

Domínios provisórios: os definitivos serão publicados junto com o nome do produto.

Escopos

Crie cada chave só com o que ela precisa: charges:read, charges:write, payments:read, refunds:read, refunds:write, webhooks:manage, events:read. Sem o escopo, a API responde 403 insufficient-scope.

IPs permitidos

Opcionalmente, restrinja a chave a IPs ou faixas (CIDR). Chamada de outro IP: 403 ip-not-allowed.

Rotação

Crie uma chave nova, troque na sua aplicação e revogue a antiga no painel. A revogação vale na hora.