Skip to main content
Não é necessário usar OAuth para utilizar a API Pública. Para uma integração privada, do lado do servidor, comece com uma chave de API com escopo definido e siga o guia de início rápido. Escolha as credenciais de cliente OAuth quando a sua política de segurança exigir tokens de acesso de curta duração ou quando a sua plataforma de integração já oferecer suporte a esse fluxo. Ambas as opções utilizam uma conta de serviço. Uma conta de serviço é a identidade da integração, e não um terceiro método de autenticação.

​
Como as peças se encaixam

Crie uma conta de serviço por integração. Escolha uma chave de API ou um cliente OAuth para essa conta; não é necessário usar ambos os métodos em cada solicitação de API. Nenhuma das credenciais pode exceder as permissões atuais da conta. O guia de início rápido utiliza a autenticação Basic. Um cabeçalho Bearer também é compatível com chaves de API; o uso desse cabeçalho não significa que seja necessário um cliente OAuth.

​
Escolha uma chave de API para uma integração simples

Utilize uma chave de API para os seus próprios trabalhos agendados, scripts de geração de relatórios, pipelines de dados ou outros serviços de backend quando um segredo armazenado no seu gerenciador de segredos atender aos seus requisitos de segurança.
  • Faça solicitações autenticadas diretamente; não é necessária nenhuma troca de tokens.
  • Selecione apenas as permissões de que a carga de trabalho necessita e defina uma expiração.
  • Faça a rotação da chave utilizando a respectiva janela de sobreposição ou revogue-a imediatamente caso seja exposta.
Uma integração com chave de API não necessita de um cliente OAuth. Comece com o guia de início rápido e, em seguida, consulte Chaves de API para obter informações sobre criação e rotação.

​
Escolha OAuth para tokens de acesso de curta duração

Utilize as credenciais de cliente OAuth para um serviço de backend confidencial quando a sua organização exigir tokens de acesso com expiração ou quando uma ferramenta de integração esperar a concessão client_credentials.
  1. Crie um cliente OAuth com escopo definido para a conta de serviço.
  2. Autentique o cliente no endpoint de tokens da sua região utilizando o método de autenticação de cliente fornecido durante a configuração.
  3. Envie o token de acesso obtido com as suas solicitações de API. Obtenha um novo token antes que o token atual expire.
O OAuth acrescenta à sua integração a obtenção de tokens e o tratamento de expiração. O segredo do cliente continua a exigir armazenamento seguro e rotação; tokens de curta duração não eliminam essa responsabilidade. As credenciais de cliente não utilizam tokens de atualização: autentique novamente o cliente para obter um novo token de acesso. O acesso OAuth deve estar habilitado para a sua organização. Se não estiver habilitado, utilize uma chave de API ou entre em contato com o Suporte da Living Security a respeito dos seus requisitos. Consulte Credenciais de cliente OAuth para obter informações sobre criação de clientes, segredos exibidos uma única vez, revogação e recuperação.

​
Mantenha as credenciais no seu backend

As chaves de API de contas de serviço e os segredos de cliente OAuth devem ser mantidos em armazenamento de segredos do lado do servidor. Não os coloque em código de navegador, aplicativos móveis, controle de versão ou logs. Uma credencial de conta de serviço atua como a carga de trabalho; ela não autentica uma pessoa nem oferece um fluxo de consentimento do cliente. Utilize o host de API regional da sua organização com qualquer um dos métodos. Alterar o método de autenticação não altera a URL do recurso, a versão da API nem as permissões exigidas por uma operação.