Autenticação

A MoneyDev usa o fluxo OAuth 2.0 client credentials (RFC 6749). Você troca um client ID e um secret por um token de acesso de curta duração e envia esse token como credencial Bearer em toda requisição /v1.

Seu client secret é uma credencial de servidor com acesso total à sua conta. Nunca coloque em código de navegador ou app mobile. Guarde em variável de ambiente e faça a rotação pelo Dashboard se ele vazar.

Obtenha suas credenciais

Crie um cliente de API no Dashboard, em API Keys. Você recebe:

client_id — um identificador, seguro para registrar em log.
client_secret — exibido uma única vez na criação. Guarde com segurança.

Cada cliente recebe um conjunto de escopos.

Solicite um token de acesso

Faça um POST no endpoint de token com as credenciais em um header HTTP Basic e o corpo em formato form-urlencoded.

cURL

curl --request POST \
  --url https://api.moneydev.com.br/oauth/token \
  --user "$MONEYDEV_CLIENT_ID:$MONEYDEV_CLIENT_SECRET" \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data grant_type=client_credentials

Node.js

const basic = Buffer.from(
  `${process.env.MONEYDEV_CLIENT_ID}:${process.env.MONEYDEV_CLIENT_SECRET}`,
).toString("base64");

const res = await fetch("https://api.moneydev.com.br/oauth/token", {
  method: "POST",
  headers: {
    Authorization: `Basic ${basic}`,
    "Content-Type": "application/x-www-form-urlencoded",
  },
  body: new URLSearchParams({ grant_type: "client_credentials" }),
});

const { access_token, expires_in } = await res.json();

Parâmetros

string

obrigatório

Deve ser client_credentials. É o único fluxo suportado.

string

Lista de escopos separados por espaço. Omita para receber todos os escopos concedidos ao seu cliente. Pedir um escopo que o cliente não tem retorna invalid_scope.

Resposta

{
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6ImF0K2p3dCIsImtpZCI6Ii4uLiJ9...",
  "token_type": "Bearer",
  "expires_in": 900,
  "scope": "customers:read customers:write checkouts:write"
}

O token é um JWT assinado, válido por expires_in segundos (900 = 15 minutos). Guarde em cache e reutilize até perto de expirar; então solicite um novo — não há refresh token. O endpoint de token responde com Cache-Control: no-store.

Chame a API

Envie o token como credencial Bearer:

curl https://api.moneydev.com.br/v1/me \
  --header "Authorization: Bearer $ACCESS_TOKEN"

Situação	Status	`error.code`
Sem header `Authorization: Bearer`	`401`	`missing_access_token`
Token inválido, expirado ou revogado	`401`	`invalid_access_token`
Token sem o escopo que o endpoint exige	`403`	`insufficient_scope`

Escopos

Escopo	Permite
`customers:read`	Ler clientes
`customers:write`	Criar clientes
`products:read`	Ler produtos e ofertas
`products:write`	Criar e atualizar produtos e ofertas
`checkouts:read`	Ler sessões de checkout
`checkouts:write`	Criar sessões de checkout
`all`	Todos os escopos acima

Cada página de endpoint indica o escopo que ela exige. Ofertas são cobertas pelos escopos products:*.

Erros do endpoint de token

Os erros de /oauth/token seguem o formato da spec OAuth — { "error": "...", "error_description": "..." } — e não o objeto de erro padrão da API.

`error`	Status	Causa
`invalid_request`	`400`	O corpo não era `application/x-www-form-urlencoded`
`unsupported_grant_type`	`400`	`grant_type` não era `client_credentials`
`invalid_client`	`401`	Credenciais de cliente ausentes ou incorretas
`invalid_scope`	`400`	Pediu um escopo que o cliente não tem
`temporarily_unavailable`	`503`	O servidor de autorização não conseguiu emitir o token

Discovery

Endpoints de metadados padrão permitem que ferramentas OAuth se configurem sozinhas:

GET /.well-known/oauth-authorization-server — issuer, endpoint de token, fluxos e escopos suportados.
GET /.well-known/jwks.json — as chaves públicas que assinam os tokens de acesso (RS256).

Introdução

Conta

Clientes

Produtos

Ofertas

Checkouts

Obtenha suas credenciais

Solicite um token de acesso

Parâmetros

Resposta

Chame a API

Escopos

Erros do endpoint de token

Discovery

​Obtenha suas credenciais

​Solicite um token de acesso

​Parâmetros

​Resposta

​Chame a API

​Escopos

​Erros do endpoint de token

​Discovery

Obtenha suas credenciais

Solicite um token de acesso

Parâmetros

Resposta

Chame a API

Escopos

Erros do endpoint de token

Discovery