API e integrações.
O mesmo controle de acesso da plataforma em cada chamada.
Comece com uma chave
Um administrador com autenticação em duas etapas pode criar uma chave em Integrações. Cada chave tem escopos e validade de até 90 dias. Envie Authorization: Bearer SUA_CHAVE para o domínio do ambiente que emitiu a credencial.
REST
Base: /api/v1. Busca: GET /catalog?q=automação. Conteúdo: GET /examples/ID. Respostas da biblioteca incluem items e nextCursor. Conteúdo premium só é retornado quando o usuário possui acesso válido.
Erros incluem error.code e error.message. Escritas financeiras exigem Idempotency-Key. Requisições de navegador exigem origem válida.
MCP e autorização de aplicativos
Endpoint: /mcp, transporte Streamable HTTP em modo sem sessão. Ferramentas: search_examples, get_example, save_learning, get_my_access e get_reports. Os escopos da chave e o perfil do usuário restringem cada operação.
Clientes MCP podem usar OAuth com PKCE S256, registro público de clientes ou metadados HTTPS do cliente. A descoberta começa em /.well-known/oauth-protected-resource/mcp. O usuário entra neste domínio, revisa os escopos e autoriza o aplicativo. Tokens duram cinco minutos; a renovação exige o escopo offline_access. Esses tokens são exclusivos do MCP. A API REST usa chaves de integração. Em Conta e acesso, o usuário pode desconectar um aplicativo e interromper imediatamente seu acesso.
Webhooks
Os eventos possuem identificador estável e assinatura HMAC SHA-256 de timestamp.corpo. Verifique X-VaiFaz-Timestamp, X-VaiFaz-Signature e rejeite timestamps fora de cinco minutos. Deduplicate por X-VaiFaz-Event-Id. Retentativas podem repetir um evento. Responda com HTTP 2xx após persistir o recebimento.