Autenticação

Solicitar um Token de Acesso

Comece por chamar POST /connect/token para autenticar a sua aplicação e solicitar um token de acesso.

Inclua as credenciais obrigatórias e o grant type no corpo do pedido.

Exemplo de pedido:

http
POST /connect/token
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials&
client_id=YOUR_CLIENT_ID&
client_secret=YOUR_CLIENT_SECRET

Exemplo de resposta:

json
{
  "access_token": "eyJhbGciOi...",
  "token_type": "Bearer",
  "expires_in": 3600
}

Guardar e Gerir o Token

Depois de receber o token:

• Guarde-o de forma segura em memória, armazenamento do lado do servidor ou cache de tokens segura.
• Acompanhe o valor expires_in para saber quando o token deve ser renovado.
• Implemente lógica de repetição e renovação para tokens expirados ou inválidos.
• Evite registar valores sensíveis de autenticação em ambientes de produção.

Práticas recomendadas:

• Use HTTPS para todos os pedidos de autenticação.
• Rode as credenciais de cliente periodicamente.
• Restrinja o scope e as permissões do token sempre que possível.

Autorizar Pedidos Protegidos da API

Envie o token de acesso em todos os pedidos protegidos usando o cabeçalho Authorization.

Exemplo:

http
Authorization: Bearer YOUR_ACCESS_TOKEN

Exemplo de pedido protegido:

http
GET /api/orders
Authorization: Bearer YOUR_ACCESS_TOKEN

Respostas comuns de autenticação:

• 401 Unauthorized -> Token em falta, expirado ou inválido
• 403 Forbidden -> O token não tem permissões suficientes

Boas práticas:

• Trate falhas de autenticação de forma controlada.
• Implemente o tratamento de autorização de forma centralizada no seu cliente de API.
• Evite codificar tokens diretamente no código-fonte.

Testar e Validar a Autenticação

Antes de publicar:

• Verifique se a geração de tokens funciona em todos os ambientes.
• Confirme que os endpoints protegidos aceitam bearer tokens válidos.
• Teste o tratamento de tokens expirados e o comportamento de renovação.
• Valide respostas de erro para credenciais inválidas e acesso não autorizado.
• Garanta que os segredos estão corretamente configurados nos pipelines de CI/CD e implantação.

Verificações recomendadas:

• Os pedidos de autenticação usam apenas HTTPS
• Os tokens não são expostos em logs nem no armazenamento do browser
• Pedidos não autorizados devolvem os códigos de erro esperados
• As permissões e scopes da API comportam-se corretamente