Autenticação
Client ID e client secret nos cabeçalhos de cada requisição.
Toda chamada à API leva as credenciais geradas em Desenvolvedores no painel. Não existe token de sessão nem etapa de login: cada requisição é autenticada sozinha, sempre por HTTPS.
Formatos aceitos
Use um dos três formatos (são equivalentes):
vspi: weetpay-100123
vsps: 3f1c9a52-7b0e-4d61-9a8c-2e5f4b7d1a90Mesmos nomes da API de gateway compatível: quem migra não precisa mudar código, só a URL e as chaves.
Exemplos
curl https://api.weetpay.com/api/v1/gateway/walletBalance \
-H "vspi: $WEETPAY_CLIENT_ID" \
-H "vsps: $WEETPAY_CLIENT_SECRET"Respostas de autenticação
| HTTP | message | code | O que fazer |
|---|---|---|---|
401 | Credenciais ausentes | — | envie o client ID e o client secret |
401 | Credenciais inválidas | — | confira as chaves; o secret pode ter sido atualizado no painel |
403 | Verificação de identidade pendente | KYC_REQUIRED | conclua a verificação no painel |
403 | Conta bloqueada. Fale com o suporte. | ACCOUNT_BLOCKED | fale com o suporte |
429 | Limite de requisições por minuto atingido | RATE_LIMITED | espere e tente de novo (limites) |
429 | Muitas tentativas com credenciais inválidas. Tente mais tarde. | RATE_LIMITED | o IP errou credenciais demais; corrija e aguarde alguns minutos |
Boas práticas
O client secret dá acesso ao seu saldo. Nunca o coloque em aplicativo, site (JavaScript no navegador) ou repositório. Chame a API só do seu servidor.
- Guarde as chaves em variáveis de ambiente ou num cofre de segredos.
- Se suspeitar de vazamento, use Atualizar credenciais em Desenvolvedores: o secret antigo para de funcionar na hora (o client ID continua o mesmo).
- Deixe o saque pela API desligado se você só recebe pagamentos — assim, mesmo com as chaves vazadas, ninguém tira dinheiro da conta.
- O client secret também assina os callbacks das suas transações: atualizá-lo muda a chave de validação (Callbacks).