Autenticação e chaves de API

Autentique requisições de servidor para servidor com uma chave de API secreta no cabeçalho Authorization:

GET /v1/payment-intents HTTP/1.1
Host: api.feitpay.com
Authorization: Bearer gp_live_YOUR_KEY

Tipos de chave

Prefixo	Ambiente	Onde fica	Status
`gp_live_…`	Live LIVE · após ativação da conta	Seu servidor ou gerenciador de segredos	Disponíveis quando sua conta for ativada, em Integração → Chaves de API; antes disso, a criação é recusada com `live_keys_disabled` (conta ainda não ativada)

Esta plataforma é somente live: as chaves live são as únicas chaves de API, e toda requisição feita com uma delas atua sobre pagamentos reais. A chave define a organização e o ambiente. Qualquer cabeçalho FeitPay-Organization é ignorado para chaves de API, e ids de tenant enviados no corpo das requisições nunca são considerados confiáveis.

Escopos

Conceda a cada chave apenas o que ela precisa. Os escopos são definidos na criação; para mudá-los, crie uma nova chave.

Escopo	Permite
`payments:read` / `payments:write`	Intenções de pagamento, sessões de checkout, linhas do tempo, transações
`invoices:read` / `invoices:write`	Faturas
`links:read` / `links:write`	Links de pagamento
`wallets:read` / `wallets:write`	Carteiras de recebimento e provas de titularidade
`webhooks:read` / `webhooks:write`	Endpoints de webhook, entregas, eventos, rotação de segredo
`stores:read`	Lojas e identidade visual
`customers:read`	Clientes derivados das intenções de pagamento
`reports:read`	Relatórios de pagamentos e de conciliação
`reconciliation:read`	Divergências
`billing:read`	Faturas e uso da plataforma
`audit:read`	O log de auditoria da organização
`balances:read`	Saldos em custódia
`payouts:read` / `payouts:write`	Ler saques, ativos de saque e endereços da lista de permitidos; solicitar e cancelar saques. Aprovar saques e adicionar ou remover endereços exige uma sessão do painel

Uma requisição fora dos escopos de uma chave falha com permission_error. Opcionalmente, as chaves podem ser restritas a uma loja, a uma lista de IPs permitidos e a uma data de expiração.

Armazenamento e exibição

O segredo completo é exibido uma única vez na criação (ou quando você troca uma chave). O FeitPay armazena apenas um hash com chave mais um prefixo curto (por exemplo gp_live_Ab12) para que você identifique as chaves no painel.
last_used_at ajuda a encontrar chaves sem uso para revogar.
Os logs de requisições nunca contêm cabeçalhos Authorization nem corpos.

Rotação

Troque uma chave em Integração → Chaves de API: a chave antiga é revogada e uma substituta com os mesmos escopos é criada. Publique a nova chave e confirme que o prefixo antigo não aparece mais nos seus logs de requisições. Se uma chave pode ter vazado, revogue-a imediatamente — a revogação vale a partir da próxima requisição.

Outras credenciais (não são para a sua integração)

Sessões do painel (gps_…) são mantidas no servidor pelo painel em um cookie HttpOnly e nunca são expostas ao JavaScript do navegador.
Visitantes do checkout são autorizados apenas pelo id de sessão de checkout, impossível de adivinhar, presente na URL; os endpoints públicos do checkout retornam dados sanitizados e nunca aceitam chaves de API.
As credenciais de operadores e de watchers são internas e não são aceitas na API de lojistas.