Autenticação
Toda requisição leva duas credenciais nos headers.
A API usa um par de credenciais gerado no painel: o Secret ID, que identifica a credencial, e a Secret Key, que comprova que ela é sua. Envie as duas em toda requisição:
| Header | Valor |
|---|---|
X-Secret-ID | ID da credencial |
X-Secret-Key | Chave secreta da credencial |
curl "https://sandbox.xpayz.us/payment-link/links" \
-H "X-Secret-ID: $XPAYZ_SECRET_ID" \
-H "X-Secret-Key: $XPAYZ_SECRET_KEY"A Secret Key é do servidor
Quem tem a Secret Key cria links e estorna pagamentos em nome da sua conta. Nunca a coloque em código de navegador, app mobile ou repositório. Se ela vazar, revogue a credencial no painel e gere outra.
Rotas públicas
GET /links/{id} não exige credenciais: é a rota que o checkout usa para
montar a página de pagamento. Ela só expõe o que o pagador já veria no checkout.
Escopos
Cada credencial tem escopos de leitura e escrita por recurso (links, webhooks, configuração). Uma
chamada com credencial válida mas sem o escopo necessário recebe 403. Ajuste os escopos da
credencial no painel.
Respostas de autenticação
| Status | Quando |
|---|---|
401 | Headers ausentes, credencial inexistente ou revogada. |
403 | Credencial válida, sem o escopo da rota. |