> ## Documentation Index
> Fetch the complete documentation index at: https://docs.selltrust.com.br/llms.txt
> Use this file to discover all available pages before exploring further.

# Permissões do token

> O que um token de API pode fazer, e por quê

Um token de API não tem escopo próprio: ele age **em nome do usuário que o criou**. Nos endpoints listados abaixo, a API aplica a mesma regra do painel sobre esse usuário, no momento de cada chamada:

* **Dono da loja**: o token pode tudo.
* **Membro da equipe**: o token só alcança as áreas para as quais o membro tem permissão.
* **Quem saiu da equipe**: o token deixa de funcionar nesses endpoints.

Criar um token não dá a ninguém um acesso que a pessoa não tem. Um membro sem a permissão de gateways, por exemplo, recebe `403` em `/api/v1/gateway` mesmo usando um token criado por ele.

## Quem pode criar tokens

O dono da loja, ou um membro com a permissão **Gerenciar tokens de API** (`MANAGE_API_TOKENS`), em **Configurações > Desenvolvedores**. Cada loja pode ter até 5 tokens ativos.

Para dar a uma IA acesso completo à loja, crie o token com a conta do dono.

## Permissão exigida por área

| Endpoints | Permissão |
| - | - |
| `PATCH /api/v1/store`, `/api/v1/order-email` | Gerenciar Loja (`MANAGE_STORE`) |
| `/api/v1/gateway` | Gerenciar Gateways (`MANAGE_GATEWAYS`) |
| `/api/v1/plugin` | Gerenciar Plugins (`MANAGE_PLUGINS`) |
| `/api/v1/domain` | Gerenciar Domínios (`MANAGE_DOMAINS`) |
| `/api/v1/template` | Gerenciar Temas (`MANAGE_TEMPLATES`) |
| `/api/v1/abandoned-checkout`, `/api/v1/email-campaign`, `/api/v1/email-template` | Gerenciar Marketing (`MANAGE_MARKETING`) |

`GET /api/v1/store` e os endpoints de produtos, categorias, cupons e pedidos aceitam qualquer token válido da loja, sem checagem por área.

## Resposta sem permissão

```json theme={null}
{
  "message": "O usuário que criou este token não tem permissão para esta ação (MANAGE_GATEWAYS).",
  "error": "Forbidden",
  "statusCode": 403
}
```

## Segredos

Nenhuma resposta da API devolve segredos, seja qual for a permissão do token:

* Credenciais de gateway aparecem como um mapa `campo → true/false`, indicando só o que está preenchido.
* Chaves de plugins (token da API de conversões do Facebook, token da UTMify) aparecem como `api_token_set`.
* O token do editor local só aparece na resposta da chamada que o gerou.

Em atualizações, um segredo que não for reenviado continua como está.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.