Skip to main content
Você não precisa do OAuth para usar a API Pública. Para uma integração privada, no lado do servidor, comece com uma chave de API com escopo definido e siga o guia de início rápido. Escolha as credenciais de cliente OAuth quando a sua política de segurança exigir tokens de acesso de curta duração ou quando a sua plataforma de integração já oferecer suporte a esse fluxo. Ambas as opções utilizam uma conta de serviço. Uma conta de serviço é a identidade da integração, e não um terceiro método de autenticação.

​
Como as peças se encaixam

Crie uma conta de serviço por integração. Escolha uma chave de API ou um cliente OAuth para essa conta; não é necessário ter os dois métodos em cada requisição à API. Nenhuma das credenciais pode exceder as permissões atuais da conta. O guia de início rápido usa a autenticação Basic. O cabeçalho Bearer também é compatível com chaves de API; usar esse cabeçalho não significa que você precise de um cliente OAuth.

​
Escolha uma chave de API para uma integração simples

Use uma chave de API para os seus próprios jobs agendados, scripts de relatórios, pipelines de dados ou outros serviços de backend quando um segredo armazenado no seu gerenciador de segredos atender aos seus requisitos de segurança.
  • Faça requisições autenticadas diretamente; não é necessária nenhuma troca de token.
  • Selecione somente as permissões de que a carga de trabalho precisa e defina uma expiração.
  • Faça a rotação da chave usando a janela de sobreposição ou revogue-a imediatamente se ela for exposta.
Uma integração com chave de API não precisa de um cliente OAuth. Comece pelo guia de início rápido e, em seguida, consulte Chaves de API para criação e rotação.

​
Escolha o OAuth para tokens de acesso de curta duração

Use as credenciais de cliente OAuth para um serviço de backend confidencial quando a sua organização exigir tokens de acesso com expiração ou quando uma ferramenta de integração esperar a concessão client_credentials.
  1. Crie um cliente OAuth com escopo definido para a conta de serviço.
  2. Autentique o cliente no endpoint de tokens da sua região usando o método de autenticação de cliente fornecido durante a configuração.
  3. Envie o token de acesso obtido com as suas requisições à API. Obtenha um novo token antes que o token atual expire.
O OAuth acrescenta à sua integração a obtenção de tokens e o tratamento de expiração. O segredo do cliente ainda precisa de armazenamento seguro e de rotação; tokens de curta duração não eliminam essa responsabilidade. As credenciais de cliente não usam tokens de atualização: autentique o cliente novamente para obter um novo token de acesso. O acesso ao OAuth deve estar habilitado para a sua organização. Se ele não estiver habilitado, use uma chave de API ou entre em contato com o Suporte da Living Security sobre os seus requisitos. Consulte Credenciais de cliente OAuth para criação de clientes, segredos exibidos uma única vez, revogação e recuperação.

​
Mantenha as credenciais no seu backend

As chaves de API de conta de serviço e os segredos de cliente OAuth devem ficar em um armazenamento de segredos no lado do servidor. Não os coloque em código de navegador, aplicativos móveis, controle de versão ou logs. Uma credencial de conta de serviço atua como a carga de trabalho; ela não autentica uma pessoa nem oferece um fluxo de consentimento do cliente. Use o host de API regional da sua organização com qualquer um dos métodos. Alterar o método de autenticação não altera a URL do recurso, a versão da API nem as permissões exigidas por uma operação.