Autenticação

A API é autenticada por chave. Envie a sua chave no cabeçalho x-api-key em toda requisição - não há login, sessão ou token que expira. `` x-api-key: SUA_CHAVE ` Sem o cabeçalho, ou com uma chave inválida ou inativa, a API responde 401.

Dois níveis de chave

Nem toda chave enxerga as mesmas coisas. Existem dois níveis, e escolher o certo é uma questão de segurança: | Nível | O que acessa | Quando usar | |-------|--------------|-------------| | Global | Endpoints públicos gerais: criar lead, ler landing por slug | Formulários e páginas públicas | | De empresa | Tudo da global + os dados e leads da sua empresa | Integrações internas do seu servidor | A chave de empresa carrega, de forma invisível para você, a identidade da sua conta. Por isso, ao listar leads com ela, você recebe apenas os leads da sua empresa - nunca os de outra. Os endpoints escopados (marcados como "requer chave de empresa" nesta documentação) recusam uma chave global com 403 enterprise_scope_required.

Onde usar cada chave

> Regra de ouro: a chave de empresa é uma credencial sensível. Trate-a como > uma senha.

• ✅ No seu servidor (back-end) - chamadas de servidor para servidor.

• ❌ Nunca no navegador, no app ou em código-fonte público - qualquer pessoa

que veja a chave passa a agir como a sua empresa. Para um formulário público no seu site, prefira a chave global: ela só permite criar leads, então não expõe dados caso vaze.

Como obter a sua chave

As chaves são emitidas pela equipe do Crédito Semanal para a sua conta. Fale com o seu ponto de atendimento para gerar uma nova chave ou revogar uma chave comprometida. A revogação é imediata.

Testando a sua chave

Um jeito rápido de validar a chave de empresa é consultar os dados da sua conta: `bash curl https://server.creditosemanal.com.br/public/enterprise/me \ -H "x-api-key: SUA_CHAVE_DE_EMPRESA" `

• 200 → a chave é válida e de empresa.

• 403 → a chave é válida, mas é global (sem escopo de empresa).

• 401 → a chave é inválida ou inativa.

Códigos de erro

| HTTP | error | Significado | |------|---------|-------------| | 401 | - | Chave ausente, inválida ou inativa | | 403 | enterprise_scope_required` | O endpoint exige uma chave de empresa | | 400 | - | Corpo inválido ou campos obrigatórios faltando | | 404 | - | Recurso não encontrado |