Autorizacao

Metodos protegidos da API exigem autorizacao com assinatura HMAC-SHA256.

Required headers

Cada requisicao deve incluir tres headers obrigatorios:

Signature generation

A assinatura e gerada a partir do timestamp e do corpo da requisicao.

Format description

Algoritmo de assinatura:

• Obtenha a hora Unix atual em segundos
• Obtenha o corpo da requisicao
• Converta JSON para formato canonico
• Monte a string: timestamp + "." + canonicalBody
• Assine a string com HMAC-SHA256 usando api_secret
• Envie o timestamp e a assinatura nos headers

Requisitos importantes:

• api_secret nao deve ser enviado na requisicao
• api_secret deve ser armazenado apenas no servidor do merchant
• A assinatura deve ser calculada separadamente para cada requisicao
• X-Timestamp deve corresponder ao momento em que a assinatura foi gerada
• O corpo enviado para a API deve corresponder exatamente ao corpo usado no calculo da assinatura
• Para requisicoes sem corpo, assine uma string neste formato: {timestamp}

Exemplos:

PHPPythonJS

Authorization errors

{
  "status": 401,
  "message": "Invalid X-Timestamp"
}

{
  "status": 401,
  "message": "Expired X-Timestamp"
}

{
  "status": 401,
  "message": "Invalid X-Signature"
}

{
  "status": 401,
  "message": "Invalid token"
}

{
  "status": 401,
  "message": "Merchant secret not configured"
}

{
  "status": 500,
  "message": "Internal Server Error"
}