Envie a chave em todo request:
A chave identifica a sua conta. Nenhum endpoint recebe account_id, então uma chave não tem como operar outra conta. Só existem chaves de produção (oripay_live_ + 32 caracteres). Chaves de teste chegam junto com o sandbox, em breve.

​
Como a chave é entregue

  1. Você cria a chave no OriPay Web (app.oripaysolutions.com.br), em Conta → API, escolhendo os scopes e os IPs, e confirma com o seu PIN.
  2. A chave aparece uma única vez, logo ao criar. A OriPay guarda só um hash dela e não consegue mostrá-la de novo.
  3. Chaves só de leitura, cobrança ou webhook já funcionam na hora.
  4. Chaves com scope que movimenta dinheiro (transfers:write ou refunds:write) ficam aguardando aprovação da OriPay e respondem 401 invalid_api_key até serem aprovadas.
  5. Perdeu? Revogue e gere outra.

​
Permissões (scopes)

Cada chave recebe só o que precisa. Use chaves separadas por sistema (ex. uma só de leitura para o financeiro). Chamar um endpoint sem o scope devolve 403 insufficient_scope.

​
IPs liberados

Toda chave só funciona a partir dos IPs que você cadastrou. Outro IP recebe 403 ip_not_allowed, e a tentativa fica registrada na auditoria da OriPay.
Os IPs não podem ser alterados pela API. Se a chave vazar, quem a tiver não consegue liberar o próprio IP.
Consulte a lista atual da chave (somente leitura) com GET /v1/ip-allowlist.

​
Rotação e revogação

  • Até duas chaves ativas ao mesmo tempo: crie a nova, troque no seu sistema e revogue a antiga.
  • A revogação é imediata.
  • O OriPay Web mostra para cada chave o prefixo, os scopes, o último uso e o último IP.
  • Recomendamos trocar a cada 90 dias.

​
Boas práticas

  • Guarde a chave em cofre (Vault, AWS Secrets Manager, Doppler). Nunca no front-end, app mobile ou repositório.
  • Nunca escreva a chave em log. Ela começa com oripay_live_, o que facilita configurar o seu scanner de segredos.
  • Chamadas só por HTTPS (TLS 1.2 ou maior). Uma chamada por HTTP é recusada com 403 https_required, nunca redirecionada.