Conta, sessões e credenciais

Conta e sessão

Entre no painel com a conta do ambiente correto. Perfil e preferências permitem nome/foto, app selecionado e tema; não alteram e-mail, senha ou privilégios pela Platform API. Sessões são verificadas no provedor e novamente no banco. Conta inativa, sessão removida ou chave expirada/revogada não continua autorizada.

Área de desenvolvedores

Na homologação, abra Desenvolvedores, escolha o app e consulte as chaves. Para emitir, informe nome, app, permissões mínimas e prazo; revise antes de confirmar. O segredo aparece uma vez: copie para seu servidor e feche a exibição após guardar. A página não grava o segredo em storage, URL ou telemetria. Não há recuperação posterior do segredo.

Renomear/reduzir uma chave exige revisão atual. PATCH só reduz apps/permissões/prazo; ampliação exige outra emissão. Rotação preserva alcance/prazo restantes, com sobreposição de 0–86400s. Revogação impede as próximas chamadas e trabalhos pendentes quando observados. Não desfaz efeitos anteriores. Diagnóstico e auditoria têm dados sanitizados e paginação; não contêm bearer ou corpo privado.

API equivalente

GET/PATCH /me e /me/preferences; GET/POST /api-keys; GET/PATCH/DELETE /api-keys/{keyId}; POST /api-keys/{keyId}/rotate; GET /requests e /audit-events. Gestão de conta/chaves exige sessão humana; uma chave de API não emite outras credenciais. Fundação e exemplos · Receita de rotação · Versões.

OAuth delegado será entregue depois da Tarefa 1. Hoje o usuário autoriza um servidor por chave restrita; não entregue sua senha a um agente nem coloque chave administrativa em app mobile. Use 401 para conferir credencial/validade; 403 para permissão; 412 para revisão; 409 secret_not_replayable exige consultar/revogar a credencial identificada antes de emitir outra.