# Autenticação com chave de API

> Como criar uma chave de API no curtei, escolher escopos, restringir por IP e enviar o token no cabeçalho Authorization.

Fonte: https://curtei.com/docs/api/autenticacao


Toda chamada autenticada leva o token no cabeçalho `Authorization`:

```bash
curl https://api.curtei.com/v1/me \
  -H "Authorization: Bearer 12|wsk_live_8f3K..."
```

## Criar uma chave

- Crie a chave em [Painel › Integrações](https://curtei.com/painel/integracoes). A conta precisa ter o e-mail confirmado.
- O token tem o formato `<id>|wsk_live_<segredo>` e aparece uma vez só. Guardamos apenas o hash; se perder, revogue e crie outra.
- O prefixo `wsk_` existe para ferramentas de varredura de segredos reconhecerem um token vazado.
- Cada conta pode ter até 20 chaves. Revogar uma chave tem efeito na hora.
- Opcional: restrinja a chave a uma lista de IPs. Chamada de outro IP recebe `403 ip_not_allowed`.

## Escopos

| Escopo | Permite |
| --- | --- |
| `links:read` | Listar e ler links, campanhas e o status de lotes |
| `links:write` | Criar, editar e apagar links e campanhas |
| `analytics:read` | Métricas, cliques, conversões, insights e exportações |
| `conversions:write` | Registrar conversões (postback) |
| `webhooks:manage` | Criar e gerenciar webhooks |
| `domains:manage` | Cadastrar e verificar domínios próprios |
| `pages:manage` | Criar e editar páginas de links |

Chamada sem o escopo necessário recebe `403 forbidden_scope`. Dê a cada sistema só os escopos que ele usa.

## Conferir a chave

`GET /me` devolve a conta, os escopos da chave e o uso. É a chamada mais simples para testar se o token está certo.

> Nunca coloque o token em código que roda no navegador ou no app do celular: qualquer pessoa conseguiria lê-lo. Chame a API a partir do seu servidor.