Autenticação

O token vai no header Authorization como Bearer. Ele é guardado no nosso banco apenas como hash SHA-256: se você perder o valor, emitimos outro, não recuperamos o antigo.

Authorization: Bearer i24_write_SEU_TOKEN

• loja_id— toda escrita é filtrada por ele. Tentar editar produto ou pedido de outra loja devolve “não pertence à sua loja”, não os dados.
• escopo — write inclui read; o contrário não.
• validade — data de aprovação, de expiração e de revogação. Um token revogado para de funcionar na chamada seguinte.

Mesmo com token aprovado, alguns campos nunca são editáveis pela API:

• Valores financeiros: repasse, comissão de afiliado, valor do pedido, chave PIX.
• status_produto — moderação de catálogo é decisão da plataforma.
• Status do parceiro logístico e aprovação de loja.

As mesmas travas existem no banco por trigger, então uma tentativa por outro caminho também falha. Módulos de escrita são ligados gradualmente: se o seu ainda não está habilitado, a ferramenta responde com o motivo em vez de gravar.

• Nunca versione o token nem cole em chat, issue ou log.
• Use o token de leitura no que for leitura; guarde o de escrita para o job que grava.
• Ao suspeitar de vazamento, peça revogação — é imediata e não afeta seus dados.