Autenticação

​

Enviando as credenciais

# HTTP Basic: o token é o usuário, o secret é a senha
curl -u "dpz_tk_SEU_TOKEN:dpz_sk_SEU_SECRET" https://api.despezzas.com/v1/me

# Ou pelos headers
curl -H "X-Api-Token: dpz_tk_SEU_TOKEN" \
     -H "X-Api-Secret: dpz_sk_SEU_SECRET" \
     https://api.despezzas.com/v1/me

​

Rotação e revogação

• Rotacionar gera um secret novo e invalida o anterior na hora. O token não muda, então só a variável de ambiente precisa ser atualizada.
• Revogar desliga a chave de vez. Integrações que a usam passam a receber 401 com “Esta chave de API foi revogada”.
• Chaves podem ter validade de 30, 90 ou 365 dias; após a data, respondem 401 “Esta chave de API expirou”.

​

Boas práticas

• Uma chave por integração, com o menor escopo que ela precisa (read para dashboards e planilhas).
• Nunca coloque o secret em código versionado nem em URLs.
• Rotacione se houver qualquer suspeita de vazamento; o histórico de uso aparece em “Último uso”.

​

Respostas de autenticação