Autenticação

A API 77Sol usa credencial de máquina. Você troca sua credencial por um token de curta duração
e envia esse token em cada chamada.

Suas credenciais

Você recebe dois valores da 77Sol:

Valor	O que é
`api_key`	Identifica sua integração. Pode aparecer em log.
`secret`	Prova que a integração é sua. Nunca exponha.

Guarde o secret num gerenciador de segredo. Não coloque em repositório, em variável de front,
em app móvel nem em coleção compartilhada.

A credencial vale para produção. O mock não pede credencial: use valores de exemplo durante o
desenvolvimento.

Obter o token

Resposta:

{
  "access_token": "<token-jwt>",
  "token_type": "Bearer",
  "expires_in": 43200
}

O expires_in vem em segundos. São 12 horas.

Obtenha o token apenas nesta rota.

Quando o token não funciona

Recebeu o token com sucesso e ainda assim toda chamada volta 401? A sua credencial está
correta — é configuração do nosso lado. Escreva para tecnologia@77sol.com.br e informe a sua
api_key e o horário.

401 na própria rota de token é outra coisa: aí a credencial está errada, inativa, ou o
seu IP está fora da lista. A resposta é a mesma para os três casos, de propósito.

Usar o token

Envie o token no header Authorization, com o prefixo Bearer:

Regras do token

Reaproveite o token até ele expirar. Ele vale 12 horas. Não peça token novo em
cada chamada: a rota de token tem limite próprio, por IP. Estourado esse limite, você
fica sem token novo na hora de um pico.

Renove antes de expirar. Guarde o instante da emissão e renove com folga de um minuto.

Trate 401 assim: renove o token uma vez e repita. Se o token novo também receber
401, pare. A credencial está errada ou inativa.

Uma credencial por integração. Não compartilhe credencial entre sistemas: você perde a
capacidade de revogar um sem derrubar o outro.

Restrição por IP

A 77Sol pode amarrar sua credencial a uma lista de IPs de origem. Informe seus IPs de saída
quando pedir a credencial. Se o seu IP mudar, avise antes.

Se o secret vazar

Avise a 77Sol imediatamente. A 77Sol revoga o secret na hora. A sua integração fica parada
até você receber a credencial nova. Um secret vazado sem aviso é pior do que uma integração
parada.

Suas credenciais#

Obter o token#

Quando o token não funciona#

Usar o token#

Regras do token#

Restrição por IP#