Ir para o conteúdo
Docs

Autenticação

Chaves de API mxp_live_, escopos, rotação e por que a chave nunca deve ir para o navegador.

Chaves de API

Toda requisição leva a chave no cabeçalho Authorization no formato Bearer mxp_live_…. A chave fica ligada à empresa e ao membro da equipe que a criou: se esse membro sair da empresa, a chave para de funcionar.

Crie e revogue chaves em Desenvolvedor › Credenciais. O segredo aparece uma vez; a MaxxiPay guarda só o hash e não consegue mostrá-lo de novo. O painel exibe o prefixo e o último uso de cada chave.

Sem chave a API responde 401 unauthenticated. Com chave inexistente ou revogada, 401 invalid_api_key.

Requisição autenticadacURL
curl https://api.maxxipay.com/v1/balances \
  -H "Authorization: Bearer $MAXXIPAY_API_KEY"
RespostaJSON200 OK
{
  "object": "balance",
  "currency": "BRL",
  "availableCents": 1284730,
  "settlingCents": 0,
  "blockedCents": 150000
}

Escopos

Cada chave tem escopos. Uma rota fora do escopo responde 403 forbidden.

EscopoPermiteRotas
charges:readConsultar e listar cobranças e ver eventos de cobrança.GET /v1/charges, GET /v1/events
charges:writeCriar cobranças.POST /v1/charges
payouts:readConsultar e listar saques e ver eventos de saque.GET /v1/payouts, GET /v1/events
payouts:writeCriar saques.POST /v1/payouts
balance:readConsultar o saldo.GET /v1/balances

A chave só acessa as rotas desta referência. As rotas do painel respondem 403 api_key_not_allowed quando recebem uma chave.

Rotação e revogação

  1. Crie uma chave nova no painel com um nome que identifique a troca.
  2. Publique a chave nova no cofre de segredos e reinicie a aplicação.
  3. Confira no painel que o último uso da chave antiga parou de mudar.
  4. Revogue a chave antiga. A revogação vale na hora.

Chaves não expiram sozinhas. Revogue na hora qualquer chave que possa ter vazado.

Nunca no navegador

A chave move dinheiro. Use só no seu servidor e nunca em JavaScript de navegador, aplicativo móvel ou repositório. O navegador do pagador conversa com o seu servidor, e o seu servidor conversa com a MaxxiPay.

Requisições feitas por um navegador de origem não autorizada recebem 403 origin_rejected.

esc