Autenticação

Chaves API por site com armazenamento em hash e exibição apenas do prefixo.

Toda requisição à Tenant API deve incluir uma chave API de site válida. As chaves são vinculadas a um site — usar a chave do site A no caminho do site B retorna 401.

Chaves API

As chaves são geradas no app (`fig_live_` + 48 caracteres hex). O secret completo é exibido uma única vez na criação. Armazenamos apenas um hash SHA-256 no servidor.

Escopos

As chaves atuais concedem acesso de leitura a conteúdo em rascunho e publicado, além de exportação de treinamento com opt-in. Operações de escrita usam a interface do app ou a produção de conteúdo — não a API REST pública.

Práticas de segurança

Revogue chaves comprometidas na página API e crie uma nova
Nunca incorpore chaves em JavaScript do lado do cliente
Use apenas HTTPS — envie as chaves no header Authorization

Cabeçalho Authorization

Authorization: Bearer fig_live_abc123...
Content-Type: application/json

Vinculação ao site

O parâmetro de caminho `siteId` deve corresponder ao site da chave. Isso impede acesso entre tenants mesmo se uma chave de outro cliente vazar.