> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hubfy.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticação e segurança

> Autentique chamadas do servidor e limite as permissões da integração.

Envie sua chave secreta no cabeçalho de cada requisição:

```http theme={null}
Authorization: Bearer {{API_KEY}}
```

A chave determina a conta. Não é necessário enviar um ID de conta; informar outra conta não amplia o acesso. Use HTTPS e mantenha a chave no servidor, fora do código de navegador, aplicativos distribuídos, URLs e repositórios.

## Permissões

As permissões de leitura e escrita são independentes. `write` não concede `read` automaticamente.

| Permissão | Acesso |
| - | - |
| `read` | Leitura dos cinco recursos públicos. |
| `write` | Operações de escrita disponíveis nos cinco recursos públicos. |
| `products:read` / `products:write` | Produtos. |
| `prices:read` / `prices:write` | Preços e ofertas. |
| `assets:read` / `assets:write` | Arquivos e vídeos. |
| `customers:read` / `customers:write` | Clientes. |
| `orders:read` / `orders:write` | Consulta de pedidos / alteração de validade de acesso e metadados. |

Escolha apenas as permissões necessárias. Cada operação informa o escopo que aceita; a permissão global correspondente também é válida. Uma permissão não cria métodos que o recurso não oferece.

## Validade e revogação

Chaves expiradas ou revogadas não autenticam. As chaves pertencem ao usuário e ficam restritas à conta em que foram criadas. Remover ou desativar o acesso do usuário à conta revoga suas chaves permanentemente. Consulte [API keys](https://docs.hubfy.io/api-reference/api-keys.md) para criação, rotação e revogação.

## Dados privados

URLs temporárias de upload e download dão acesso ao conteúdo e devem ser tratadas como credenciais. Não registre tokens, cabeçalhos de autorização ou documentos de clientes em logs. Na integração de webhooks, valide a [assinatura da entrega](https://docs.hubfy.io/api-reference/webhooks/delivery.md) antes de processar o evento.

## Diagnóstico

`401` indica credencial inválida, expirada, revogada ou uma forma de autenticação não aceita. `403` indica falta de acesso ou permissão. Guarde o cabeçalho `X-Request-Id` para localizar a chamada; veja [Erros](https://docs.hubfy.io/api-reference/errors.md).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.