Autenticação e Ambientes

Para garantir a segurança, nossa API usa o padrão OAuth 2.0 (Client Credentials Grant). O fluxo para se autenticar é simples:

1. Você recebe um Consumer Key e Consumer Secret para cada ambiente.
2. Você usa essas credenciais para solicitar um access_token temporário ao nosso endpoint de autenticação.
3. Você usa esse token no header Authorization de todas as suas chamadas de API.

1. Ambientes: Staging e Produção

Nós fornecemos dois ambientes. Você deve iniciar seu desenvolvimento e validação usando o ambiente de Staging.

IMPORTANTE: Liberação de Credenciais

O acesso aos ambientes é liberado em fases:

• Credenciais de Staging: São liberadas antes do início do desenvolvimento para que você possa construir sua aplicação.
• Credenciais de Produção: São liberadas somente após a conclusão e validação da integração em Staging pelo time Creditas.

2. Obtendo suas Credenciais

O processo de liberação das suas credenciais (Consumer Key e Consumer Secret) é feito mediante solicitação e dividido em duas fases: a fase de Desenvolvimento (Staging) e a fase de Go-Live (Produção).

Para garantir a segurança e o controle, as credenciais para ambos os ambientes são liberadas manualmente pelo nosso time técnico. O único canal para solicitações é o e-mail: [email protected].

2.1 Credenciais para Staging (desenvolvimento)

Você deve usar o ambiente de Staging para construir, testar e validar toda a sua integração antes de solicitar o acesso à Produção.

• Como solicitar: Envie um e-mail para [email protected] usando o template abaixo. Preencher o template corretamente garante que nosso time tenha toda a informação necessária para gerar suas chaves rapidamente.

2.2 Credenciais para Produção (go-live)

A liberação das credenciais de Produção é o passo final e acontece somente após a validação bem-sucedida da sua integração no ambiente de Staging.

• Como solicitar: Para comprovar que sua aplicação está pronta, você deve nos enviar evidências de uma chamada de sucesso em Staging. A seguir listamos quais são as evidências técnicas que precisamos.

❗️

Requisito de Compliance: Evidência de Opt-in

Além das evidências técnicas descritas acima, há um requisito final de conformidade para a liberação de suas chaves de Produção.

É imprescindível que o e-mail de requisição inclua a comprovação visual (screenshot ou link) de que o mecanismo de opt-in de comunicações está aplicado na interface do seu usuário.

• Você deve demonstrar que o cliente concorda explicitamente em receber comunicações transacionais para que possamos engajá-lo com atualizações sobre sua proposta (via e-mail, SMS ou outras plataformas).

Esta exigência é obrigatória para proteger a integridade do canal de comunicação e garantir a conformidade com regulamentações de combate a spam.

Atenção: Sem o comprovativo visual do opt-in do usuário, as comunicações transacionais críticas (necessárias para o seguimento do processo) não serão habilitadas.

Importante: Nosso time técnico analisará as evidências fornecidas. Se tudo estiver correto, suas credenciais de Produção serão geradas e compartilhadas. Caso contrário, entraremos em contato para solicitar ajustes.

3. Gerando um Access Token

Agora que você tem seu Consumer Key e Consumer Secret, o próximo passo é trocá-los por um access_token temporário.

Usamos o fluxo OAuth 2.0 (Client Credentials Grant), que é o padrão de mercado para comunicação segura de servidor-para-servidor (B2B). O token é a "chave" temporária que você usará para provar sua identidade em todas as chamadas futuras.

Este token expira em 2 hora (7200 segundos). Você deve gerar um novo token sempre que o anterior expirar ou para cada nova sessão da sua aplicação.

• Após a expiração do token, todas as requisições passarão a retornar status_code 401 (Unauthorized), até que um novo token seja gerado.

O access_token será necessário para o cabeçalho de autenticação de toda requisição que for realizar.

3.1. Endpoint de autenticação

Para obter o token, você fará uma chamada POST para o nosso endpoint de autenticação, enviando suas credenciais no corpo (body) da requisição.

🚧

Importante: As credenciais são específicas para cada ambiente e não podem ser misturadas. Você deve usar o par de chaves (consumer_key e consumer_secret) que corresponde ao endpoint que você está chamando.

Requisição HTTP POST

Detalhes da requisição: request headers

Resquest body

Request Response

3.2. Exemplo: solicitando seu token

curl --location --request POST 'https://auth-staging.creditas.com.br/api/affiliate_clients/tokens'  
--header 'Accept-Version: v1'  
--header 'Content-Type: application/json'  
--data-raw '{  
    "consumer_key": "{{consumer_key}}",  
    "consumer_secret": "{{consumer_secret}}"  
}'

{  
    "access_token": "1234SFDSF42423dfvxc",  
    "token_type": "bearer",  
    "refresh_token": "refresh-token",  
    "expires_in": 7200  
}

3.3. Erros de Autenticação