Autenticação e permissões

A API REST usa API keys no padrão Bearer. Cada chave pertence a uma organização, a um ambiente e a um projeto, podendo ter expiração, revogação e permissões próprias.

Envie a chave no header

Authorization: Bearer cpm_...

Não envie a chave na URL, no corpo da requisição ou em código entregue ao navegador. Também não registre o valor em logs, telemetria ou mensagens de erro.

Permissões

As permissões separam responsabilidades como consulta, emissão, efetivação e pagamento. Uma resposta 403 Forbidden indica que a chave foi reconhecida, mas não possui o acesso exigido pela operação.

Ciclo de vida da credencial

O segredo é exibido uma única vez e persistido apenas como hash pelo Cupom. Para substituir uma chave comprometida, crie outra, atualize o serviço consumidor e revogue a anterior após a transição.

Uma resposta 401 Unauthorized pode indicar chave ausente, inválida, expirada ou revogada. Evite repetir indefinidamente a mesma chamada: corrija a configuração antes de tentar novamente.

Validar o escopo

O endpoint GET /v1/coupon/integration identifica o escopo efetivo da chave e pode ser usado por conectores durante a configuração. Ele não devolve o segredo e não altera dados comerciais.