A chave age como você
Cada chave pertence a um usuário da conta e age como esse usuário, nunca com mais acesso. O que ela pode fazer é a interseção de:
- os escopos escolhidos na chave;
- o papel atual do usuário (dono, administrador, membro ou leitura) — se o papel mudar, a chave muda junto;
- os módulos do plano e o acesso do membro;
- no teste grátis, só leitura.
Se o usuário sair da conta ou for desativado, a chave para de funcionar na hora.
Como enviar
Authorization: Bearer czk_live_SUA_CHAVETambém aceitamos o header api-access-token: czk_live_… (com hífen; proxies descartam headers com sublinhado). Nunca envie a chave na URL.
Escopos
| Escopo | O que permite |
|---|---|
account:read | Ver a conta, os membros e o plano |
contacts:read | Ver contatos, listas, etiquetas e campos |
contacts:write | Criar e editar contatos, listas, etiquetas e campos |
contacts:delete | Excluir contatos |
conversations:read | Ver conversas e mensagens da caixa |
conversations:write | Atribuir, resolver, etiquetar e anotar conversas |
messages:send | Enviar mensagens e templates pelo WhatsApp |
whatsapp:read | Ver números, saúde e templates |
templates:write | Criar e excluir templates na Meta |
campaigns:read | Ver campanhas e métricas |
campaigns:write | Criar, iniciar, pausar e cancelar campanhas |
deals:read | Ver funis, etapas e negócios |
deals:write | Criar, editar e mover negócios |
automations:read | Ver automações |
automations:write | Inscrever e remover contatos de automações |
agents:read | Ver agentes de IA |
agents:write | Ativar, pausar e assumir conversas dos agentes |
webhooks:manage | Gerenciar webhooks de saída |
analytics:read | Ver relatórios |
Membros não têm contacts:delete, templates:write nem webhooks:manage (só donos e administradores). Usuários de leitura só têm escopos :read.
Segurança
- Guarde a chave num cofre de senhas ou variável de ambiente, nunca no código nem no navegador.
- Use IPs permitidos quando o seu servidor tiver IP fixo.
- Dê só os escopos necessários e uma validade.
- Se vazar, revogue em Configurações → API pública: vale na hora.