Pular para o conteúdo principal

Autenticação

Toda chamada a /v1/* é autenticada por uma API key no header Authorization:

Authorization: Bearer tsk_1a2b3c4d_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Formato e ciclo de vida​

  • A chave tem o formato tsk_<prefixo>_<segredo>. O prefixo (8 caracteres hexadecimais) identifica a chave no painel; o segredo nunca é guardado em claro, só o hash SHA-256.
  • A chave é mostrada uma única vez, no momento em que é criada. Se perder, revogue e crie outra.
  • Cada chave pertence a um cliente (tenant). Com ela você só enxerga as perguntas e respostas do seu próprio tenant.
  • A revogação (painel, tela Credenciais) vale na hora: a chave passa a responder 401 invalid_api_key.
  • Cada tenant pode ter até 20 chaves ativas. Use uma por sistema ou ambiente (produção, homologação) para poder revogar uma sem derrubar as outras.

Onde guardar​

Nunca use a chave no navegador ou no app

A API key é um segredo do seu servidor. Não coloque a chave em código de frontend, aplicativo móvel, repositório ou log. O navegador do usuário deve falar com o seu backend, e o seu backend fala com o Datafala.

Guarde a chave como variável de ambiente ou num cofre de segredos:

# Dokku
dokku config:set meu-app DATAFALA_API_KEY=tsk_1a2b3c4d_...

# Heroku / Render / Railway: use o painel de variáveis de ambiente do serviço

Erros de autenticação​

HTTPcodeQuando
401invalid_api_keyHeader ausente, mal formado, chave inexistente ou revogada

Não repita a requisição sem corrigir a chave. Os endpoints /v1 ignoram cookies, e o painel (/admin) ignora API keys.