Autenticação

A Webphone API define três esquemas de segurança diferentes. Eles não usam os headers X-API-Key e X-Domain, que são exclusivos da API de Extrato de Ligações.

TenantApiKey

HTTP Bearer

API key opaca do tenant. Não há rotação, revogação ou expiração automática, nem scopes: quem tiver a chave tem acesso total às rotas que a aceitam.

Formato · valor fictício

Authorization: Bearer SUA_TENANT_API_KEY

Usado em

GET/webphone/user-info
GET/webphone/configs
GET/webphone/configs/{userId}
PUT/webphone/configs/{userId}
PATCH/webphone/configs/{userId}
POST/webphone/configs/{userId}/change-id
GET/api/webphone

AdminJwt

HTTP Bearer (JWT)

JWT do painel administrativo, com validade de 1 dia. Usado em ativação, listagem legada e chave de integração.

Formato · valor fictício

Authorization: Bearer SEU_ADMIN_JWT

Usado em

GET/webphone/config
POST/webphone/activate
GET/webphone/integration-key
POST/webphone/integration-key

RuntimeQueryKey

API key na query (token)

A mesma API key do tenant enviada no parâmetro token. No modelo atual a chave aparece na URL e pode vazar em histórico, logs de servidores/proxies e no cabeçalho Referer.

Formato · valor fictício

GET /embed?userid=usuario-123&token=SUA_TENANT_API_KEY

Usado em

GET/api/webphone
GET/embed

Onde guardar cada credencial

TenantApiKey e AdminJwt: apenas em variáveis de ambiente do seu servidor.
Não registre essas credenciais em logs, analytics, armazenamento do navegador ou URLs.
Como não há rotação automática, defina um processo manual com a Telenova em caso de vazamento.