Authentication

Toda chamada a /v1/* é autenticada por API Key, enviada como Bearer token:

curl https://api.tamino.com.br/v1/payments/pay_123 \
  -H "Authorization: Bearer sk_test_..."

Formato da chave

sk_test_... — chave de sandbox.
sk_live_... — chave de produção.

O prefixo é só cosmético (identifica visualmente o ambiente no Backoffice) — a validação real é sempre pelo hash da chave inteira. Uma chave nunca é reexibida depois de criada; se perdida, revogue-a e gere outra.

Escopo: tenant vs. merchant

Uma chave é criada dentro de um merchant específico e carrega esse escopo — toda chamada fica automaticamente restrita àquele tenantId/merchantId, sem precisar (nem poder) informá-los no corpo da request para sobrescrever.

Nota

Se sua plataforma opera múltiplos merchants sob o mesmo tenant (ex.: um marketplace), fale com quem administra sua instância sobre uma chave escopada ao tenant — nesse caso merchantId passa a ser obrigatório no corpo de endpoints como POST /v1/payments.

Revogação

Backoffice → Merchants → API Keys → Revogar. Uma chave revogada passa a responder 401 UNAUTHORIZED imediatamente — sem propagação assíncrona, sem cache.

IPs permitidos

Cada chave pode ser vinculada a um ou mais IPs (ou faixas CIDR, ex.: 198.51.100.0/24) em Backoffice → API Keys → IPs. Com a lista preenchida, chamadas de qualquer outro IP são recusadas com 403 FORBIDDEN. Sem nenhum IP cadastrado, a chave funciona de qualquer endereço.

Erros de autenticação

Situação	Status	`error.code`
Header `Authorization` ausente	401	`UNAUTHORIZED`
Chave inválida ou revogada	401	`UNAUTHORIZED`
Chamada de um IP fora dos IPs permitidos da chave	403	`FORBIDDEN`

Ver Errors pro envelope completo.