Autenticação da API de Leads
A API pública usa um token de integração no header Authorization. O token completo aparece apenas no momento da criação no painel. Depois disso, o painel mostra apenas o prefixo do token.
Antes de começar
Você precisa de um token de integração criado no painel do Capturama. Este site público não cria token, não valida token e não faz chamadas reais à API do SaaS.
Como gerar um token
O token é criado dentro do painel do SaaS, na área de integração disponível para a conta. O valor completo aparece apenas no momento da criação.
Depois da criação, o painel exibe somente prefixo ou preview para identificação. Se o valor completo for perdido, gere ou rotacione o token conforme o fluxo do painel.
Como usar Authorization Bearer
Inclua o header abaixo em cada chamada à API pública.
Authorization: Bearer SEU_TOKEN_AQUIOnde guardar o token
Guarde o token em cofre de segredos, variável protegida do servidor, credencial do n8n ou mecanismo equivalente. Não coloque token em HTML, JavaScript público, planilhas abertas ou repositórios.
A aplicação que consome a API deve ser a responsável por injetar o header Authorization no servidor ou na automação segura.
Como revogar um token
O token pode ser revogado no painel. Revogue quando houver troca de fornecedor, suspeita de exposição, fim do projeto ou necessidade de rotação periódica.
Depois da revogação, chamadas com o token antigo devem retornar unauthorized.
Erros de autenticação
| Status | Código | Quando acontece | Ação recomendada |
|---|---|---|---|
| 401 | unauthorized | O token está ausente, inválido ou revogado. | Confira o header Authorization e gere novo token se necessário. |
| 503 | integration_disabled | A integração está desabilitada para a conta ou token. | Reative a integração no painel ou fale com o responsável pela conta. |
Boas práticas de segurança
Trate o token como segredo de produção, mesmo quando a API for somente leitura.
- Não compartilhe o token completo em chamados, prints ou planilhas.
- Revogue tokens que não são mais usados.
- Use permissões mínimas no sistema externo que guarda a credencial.
- Monitore falhas 401 para detectar token ausente, inválido ou revogado.