Autenticação - Autorizou

A API Autorizou utiliza Bearer Token para autenticação. Todas as requisições devem incluir sua chave de API no cabeçalho Authorization.

Tipos de Chave

Chave de Teste

Use no ambiente Sandbox para desenvolvimento e testes

Chave de Produção

Use apenas em produção com pagamentos reais

Como Obter suas Chaves

O acesso à Autorizou é feito por onboarding assistido — não há autocadastro. Após a aprovação, o atendimento envia suas chaves de sandbox e de produção.

Solicitar acesso

Comece seu onboarding em autorizou.com.br

Com acesso ao painel (Integrações → Chaves de API), você gerencia suas chaves — e pode criar chaves adicionais nomeadas quando precisar:

Múltiplas chaves nomeadas — dê um nome a cada chave (ex.: “Integração ERP”, “Produção”) para identificar onde ela é usada.
Prefixo aut_ — toda chave começa com aut_, o que a torna reconhecível (inclusive por scanners de segredo, caso vaze em um repositório ou log).
Copie na hora — a chave só é exibida uma única vez, no momento da criação. O painel guarda apenas o nome, a data de criação e o último uso — nunca o valor.
Revogação imediata — revogar uma chave a invalida na hora; integrações que a usam param de funcionar.

Como a chave só aparece uma vez, copie-a assim que gerar e guarde-a em local seguro. Se perder o valor, gere uma nova e revogue a antiga.

Mantenha suas chaves seguras! Nunca exponha chaves de produção em código cliente ou repositórios públicos.

Formato da Autenticação

Inclua o cabeçalho Authorization em todas as requisições:

Authorization: Bearer 4eC39HqLyjWDarjtT1zdp7dc

Exemplos de Implementação

curl -X GET https://pay.autorizou.dev/api/v1/payments?per_page=1 \
  -H "Authorization: Bearer 4eC39HqLyjWDarjtT1zdp7dc" \
  -H "Content-Type: application/json"

const apiKey = '4eC39HqLyjWDarjtT1zdp7dc';

const response = await fetch('https://pay.autorizou.dev/api/v1/payments?per_page=1', {
  method: 'GET',
  headers: {
    'Authorization': `Bearer ${apiKey}`,
    'Content-Type': 'application/json'
  }
});

const data = await response.json();

<?php

$apiKey = '4eC39HqLyjWDarjtT1zdp7dc';

$curl = curl_init();
curl_setopt_array($curl, [
    CURLOPT_URL => 'https://pay.autorizou.dev/api/v1/payments?per_page=1',
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        'Authorization: Bearer ' . $apiKey,
        'Content-Type: application/json'
    ]
]);

$response = curl_exec($curl);
curl_close($curl);
?>

Gerenciamento Seguro de Chaves

Variáveis de Ambiente

Recomendado: Armazene chaves em variáveis de ambiente

# .env
AUTORIZOU_SECRET_KEY=4eC39HqLyjWDarjtT1zdp7dc

// JavaScript/Node.js
const apiKey = process.env.AUTORIZOU_SECRET_KEY;

// PHP
$apiKey = $_ENV['AUTORIZOU_SECRET_KEY'];

Configuração por Ambiente

const config = {
  development: {
    apiKey: '4eC39HqLyjWDarjtT1zdp7dc',
    baseUrl: 'https://pay.autorizou.dev/api/v1'
  },
  production: {
    apiKey: '1234567890abcdef',
    baseUrl: 'https://pay.autorizou.cloud/api/v1'
  }
};

const env = process.env.NODE_ENV || 'development';
const autorizou = config[env];

Códigos de Erro de Autenticação

401 - Unauthorized

Chave de API ausente ou inválida

{
  "error": {
    "code": "unauthorized",
    "message": "Chave de API inválida ou ausente"
  }
}

Soluções:

Verifique se o cabeçalho Authorization está presente
Confirme se a chave está no formato correto
Verifique se não há espaços extras na chave

403 - Forbidden

Chave válida mas sem permissão para o recurso

{
  "error": {
    "code": "forbidden",
    "message": "Acesso negado a este recurso"
  }
}

Possíveis causas:

Usando chave de teste em produção
Recurso não disponível para seu plano
Chave desabilitada ou suspensa

Rotação de Chaves

Para manter a segurança, recomendamos rotacionar suas chaves periodicamente:

Gere Nova Chave

No Dashboard, gere uma nova chave de API

Atualize Aplicação

Atualize sua aplicação com a nova chave

Teste Funcionamento

Verifique se todas as funcionalidades estão operando

Revogue Chave Antiga

Desative a chave anterior no Dashboard

Boas Práticas de Segurança

Proteção das Chaves

Nunca comite chaves no controle de versão
Use variáveis de ambiente ou serviços de secrets
Aplique diferentes chaves por ambiente
Monitore uso das chaves via Dashboard

Segurança de Rede

Sempre use HTTPS em produção
Implemente rate limiting nas suas APIs
Configure CORS adequadamente
Monitore logs de acesso suspeitos

Aplicações Cliente

Nunca use chaves secretas em apps mobile
Implemente proxy server para chamadas API
Use tokens temporários quando possível
Valide todas as entradas do usuário

Testando a Autenticação

Use este simples teste para verificar se sua chave está funcionando:

# Teste simples - deve retornar 200 OK
curl -X GET https://pay.autorizou.dev/api/v1/payments?per_page=1 \
  -H "Authorization: Bearer SUA_CHAVE_AQUI" \
  -H "Content-Type: application/json"

// Função para testar autenticação
async function testAuth() {
  try {
    const response = await fetch('https://pay.autorizou.dev/api/v1/payments?per_page=1', {
      headers: {
        'Authorization': 'Bearer SUA_CHAVE_AQUI',
        'Content-Type': 'application/json'
      }
    });
    
    if (response.ok) {
      console.log('Autenticação funcionando!');
    } else {
      console.log('Erro de autenticação:', response.status);
    }
  } catch (error) {
    console.log('Erro de conexão:', error.message);
  }
}

testAuth();

<?php

function testAuth($apiKey) {
    $curl = curl_init();
    curl_setopt_array($curl, [
        CURLOPT_URL => 'https://pay.autorizou.dev/api/v1/payments?per_page=1',
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_HTTPHEADER => [
            'Authorization: Bearer ' . $apiKey,
            'Content-Type: application/json'
        ]
    ]);
    
    $response = curl_exec($curl);
    $httpCode = curl_getinfo($curl, CURLINFO_HTTP_CODE);
    curl_close($curl);
    
    if ($httpCode === 200) {
        echo "Autenticação funcionando!\n";
    } else {
        echo "Erro de autenticação: " . $httpCode . "\n";
    }
}

testAuth('SUA_CHAVE_AQUI');
?>

​Tipos de Chave

Chave de Teste

Chave de Produção

​Como Obter suas Chaves

Solicitar acesso

​Formato da Autenticação

​Exemplos de Implementação

​Gerenciamento Seguro de Chaves

​Variáveis de Ambiente

​Configuração por Ambiente

​Códigos de Erro de Autenticação

​Rotação de Chaves

​Boas Práticas de Segurança

​Testando a Autenticação

Tipos de Chave

Como Obter suas Chaves

Formato da Autenticação

Exemplos de Implementação

Gerenciamento Seguro de Chaves

Variáveis de Ambiente

Configuração por Ambiente

Códigos de Erro de Autenticação

Rotação de Chaves

Boas Práticas de Segurança

Testando a Autenticação