Skip to main content
Um token de API não tem escopo próprio: ele age em nome do usuário que o criou. Nos endpoints listados abaixo, a API aplica a mesma regra do painel sobre esse usuário, no momento de cada chamada:
  • Dono da loja: o token pode tudo.
  • Membro da equipe: o token só alcança as áreas para as quais o membro tem permissão.
  • Quem saiu da equipe: o token deixa de funcionar nesses endpoints.
Criar um token não dá a ninguém um acesso que a pessoa não tem. Um membro sem a permissão de gateways, por exemplo, recebe 403 em /api/v1/gateway mesmo usando um token criado por ele.

Quem pode criar tokens

O dono da loja, ou um membro com a permissão Gerenciar tokens de API (MANAGE_API_TOKENS), em Configurações > Desenvolvedores. Cada loja pode ter até 5 tokens ativos. Para dar a uma IA acesso completo à loja, crie o token com a conta do dono.

Permissão exigida por área

GET /api/v1/store e os endpoints de produtos, categorias, cupons e pedidos aceitam qualquer token válido da loja, sem checagem por área.

Resposta sem permissão

Segredos

Nenhuma resposta da API devolve segredos, seja qual for a permissão do token:
  • Credenciais de gateway aparecem como um mapa campo → true/false, indicando só o que está preenchido.
  • Chaves de plugins (token da API de conversões do Facebook, token da UTMify) aparecem como api_token_set.
  • O token do editor local só aparece na resposta da chamada que o gerou.
Em atualizações, um segredo que não for reenviado continua como está.