Autenticação

Toda requisição é autenticada com uma chave de API enviada no header Authorization. Não há prefixo Bearer.

Authorization: bzp_live_7dQx1sVnKp0aZ2mB9tLcW4eR6yH3uJfG5iN8oPqXs

Formato da chave

Chaves de produção começam com bzp_live_ seguido de 43 caracteres alfanuméricos. Depois de criada, o dashboard mostra só o prefixo (por exemplo bzp_live_7dQx1s), então guarde a chave completa num lugar seguro na hora.

Organização

Cada chave pertence a exatamente uma organização, e toda requisição fica restrita a ela. Não existe parâmetro organization_id em lugar nenhum da API: ele sempre vem da chave.

Restringir a chave a números

• Sem restrição (padrão): a chave pode agir a partir de qualquer número de WhatsApp da organização.
• Um número: a chave só usa aquele número, e o integration_id dele é preenchido automaticamente quando você não envia.
• Vários números: você precisa enviar integration_id explicitamente nas rotas que agem a partir de um número. Sem ele a resposta é 403 INTEGRATION_ID_REQUIRED; com um número fora da lista, 403 INTEGRATION_NOT_ALLOWED.

Revogação

Revogue a chave em Configurações → Chaves de API. O resultado da autorização fica em cache por até 5 minutos, então uma chave revogada pode continuar funcionando nesse intervalo. Para trocar de chave, crie a nova primeiro, coloque em uso e só então revogue a antiga.