Pular para o conteúdo
PTEN

Chaves de API

O token criptográfico que identifica os seus sistemas quando eles interagem com o Cord.

Como as chaves funcionam

A aba Chaves do Workbench em tela cheia: no topo, 3.412 de 5.000 requisições à API usadas este mês e a versão 2026-10-01; abaixo, chaves secretas, restrita e publicável em produção e em teste, cada uma com o token mascarado e os últimos 4 caracteres, permissões, último uso, criação e vencimento, além de uma conexão OAuth e uma chave revogada.

Toda requisição programática à API do Cord exige uma chave de API. Você pode administrá-las, revogá-las e monitorar o uso delas na aba Chaves do Cord Workbench — a pílula “Desenvolvedores” no canto inferior direito do app, que aparece ao ativar o Modo desenvolvedor em Sua conta › Preferências.

Por segurança, os sistemas do Cord armazenam a sua chave de API como um hash (sha-256) irreversível. A chave em texto claro (a string que começa com sk_..., rk_... ou pk_...) será mostrada a você uma única vez, no momento da criação. Se você a perder, não há como recuperá-la; será preciso revogá-la e gerar uma nova.

Boas práticas de segurança

Não envie chaves secretas para repositórios

Nunca faça commit (por exemplo, no Git) de uma chave que comece com sk_live_. Se um repositório público expuser a sua chave, qualquer pessoa poderá usá-la com as mesmas permissões do seu backend até que você a revogue manualmente no Workbench — o Cord não a detecta nem a suspende por você. Use variáveis de ambiente (como arquivos .env fora do controle de versão) nos seus servidores e revise o log de atividade da chave se suspeitar de um vazamento.

Use o escopo correto (publicável ou secreta)

  • Chaves secretas (sk_): acessam toda a API, somente leitura ou leitura e escrita, conforme o escopo que você escolher ao criá-las. Devem ficar apenas em servidores de backend sob o seu controle.
  • Chaves restritas (rk_): também são de servidor, mas com uma permissão por recurso (none, read ou write). Veja chaves restritas.
  • Chaves publicáveis (pk_): projetadas para serem injetadas com segurança em aplicações web (frontend). O Cord aplica automaticamente restrições sobre o que essas chaves podem ver ou oculta campos sensíveis (como o custo/margem dos produtos) quando recebe uma requisição assinada com elas.

Atividade em tempo real

A aba Logs do Workbench é um log de auditoria ao vivo do uso de cada chave: filtre por método ou por classe de status, busque por rota e selecione qualquer requisição para ver qual IP, qual chave e qual fluxo (API REST ou MCP) a originou. As chamadas de MCP aparecem com a ferramenta que foi invocada, por exemplo /mcp/tools/call:listar_productos.