Autenticação e permissões

A API V1 do Audácia utiliza tokens de integração, autenticados pelo cabeçalho Authorization: Bearer <TOKEN>. O token pertence a um cliente de API vinculado a uma única empresa.

Cada integração possui um conjunto de permissões, chamadas de abilities, por exemplo products.read e customers.create. A API exige a permissão específica antes de realizar a operação.

O contexto da empresa é determinado pelo token, e não por parâmetros company_id enviados na chamada. Uma integração não deve conseguir acessar dados de outra empresa.

Obtenção do token

A emissão e a revogação de credenciais devem ser feitas pelo responsável autorizado pela integração no Audácia. No snapshot analisado existe o comando administrativo audacia-api:client:create; não existe fluxo público OAuth 2.0 de autorização de aplicativos equivalente ao do Bling, portanto não utilize esse procedimento.

Recomendações

1. Armazene tokens somente no servidor ou em um cofre de segredos.
2. Use HTTPS para todas as chamadas.
3. Solicite apenas as permissões estritamente necessárias.
4. Trate erros HTTP 401 (credencial ausente/inválida) e 403 (integração sem autorização, inativa ou expirada).
5. Nunca coloque o token na URL ou registre credenciais em logs públicos.