Autenticação e chaves de API

Use apenas os métodos publicados na referência da API. Nunca invente um cabeçalho nem reutilize uma credencial administrativa.

Ciclo seguro

1. Use a sessão autenticada para ações humanas ou a chave da linha somente nas operações que aceitam esse método.
2. Exiba o segredo uma única vez.
3. Guarde em cofre ou variável de ambiente; nunca em frontend, log ou commit.
4. Mantenha a chave vinculada a um único chip e à conta correta.
5. Rotacione periodicamente e teste a nova chave.
6. A rotação invalida imediatamente a chave anterior. O contrato atual não oferece expiração automática nem endpoint público separado de revogação.

Respostas esperadas

• 401: credencial ausente ou inválida.
• 403: credencial válida, mas sem escopo ou conta permitida.
• O contrato 1.0.0 ainda não promete 429 nem headers de rate limit.

Os nomes e combinações aceitas por operação estão na OpenAPI Nexus sanitizada.