A chave de API identifica a sua conta nas chamadas feitas pelo seu sistema. Ela é pessoal e intransferível.
Como gerar
No painel, em Configurações, crie uma chave de API. A emissão de chaves exige a autenticação em duas etapas. A chave aparece uma única vez: guarde-a num cofre de segredos assim que for exibida.
Por que a chave exige tanto cuidado?
A chave é uma credencial de saque. Quando a chamada é autenticada por chave, o saque não pede a segunda prova que o painel exige. Quem tem a chave pode sacar.
Por isso:
- guarde a chave num cofre de segredos;
- nunca a coloque no repositório de código;
- nunca a use no front-end, pois qualquer visitante poderia lê-la;
- troque a chave ao menor sinal de exposição.
A API funciona apenas de servidor para servidor. Chamadas feitas a partir do navegador são bloqueadas.
O que são escopos?
Cada chave carrega uma lista de escopos no formato recurso:ação, como charges:read ou withdrawals:write. Há escopos para:
- cobranças e clientes;
- saldo e saques;
- chaves PIX e webhooks;
- produtos e splits;
- subcontas.
Dê a cada chave só o que a integração precisa. Quando falta permissão, a resposta traz o campo required_scope, que indica o escopo necessário.
Não use escopo como sua única camada de controle. O escopo só é verificado em parte das rotas. Trate qualquer chave como credencial sensível, mesmo que ela tenha poucos escopos.
Existe chave de teste?
Não existe ambiente de teste. O prefixo vk_test_ é apenas um rótulo: cobranças são reais e saques movimentam dinheiro de verdade.
Suspeita de vazamento?
Troque a chave e avise o suporte imediatamente. Os Termos de Uso pedem aviso imediato em caso de uso não autorizado ou suspeita de comprometimento.
Para os detalhes técnicos, consulte o guia de autenticação em app.dotfy.com.br/docs/pt/guides/authentication/.