Autenticação

Toda chamada à API do Conota é autenticada por uma API Key, criada no painel em Integração → Chaves de API. Ela identifica a sua conta, carrega as permissões dela e vale até você revogá-la.

X-API-Key: sua_chave_aqui

Não existe passo de "obter um token" antes de chamar a API: a chave já é a credencial.

Na API REST é X-API-Key, e só

Mandar a chave em Authorization: Bearer não funciona na API REST — a resposta é 401 Token invalido ou expirado, porque esse header é interpretado como sessão do painel.

A exceção é o Conota MCP, que aceita a chave nos dois headers. Se o seu cliente MCP só oferece "Bearer token", pode usar lá sem problema.

O login por e-mail e senha existe, mas é do painel: cria uma sessão de pessoa, que expira e termina no logout. Não é caminho de integração — um programa num servidor não deveria depender de alguém digitar senha a cada 12 horas.

Segurança da API Key

Nunca em código que roda no navegador

Uma API Key do Conota dá poder de emitir documento fiscal com efeito real. Colocá-la em JavaScript entregue ao navegador equivale a publicá-la.

Nunca inclua uma chave em:

• código publicado em repositório;
• aplicações frontend executadas no navegador;
• mensagens de suporte ou capturas de tela;
• arquivos de configuração versionados sem proteção.

Prefira variáveis de ambiente ou um serviço de gerenciamento de segredos.

Uma chave representa acesso

Qualquer aplicação com uma chave válida executa as operações permitidas para aquela credencial. Se houver suspeita de exposição, revogue no painel — Integração → Chaves de API — e gere outra. A revogação vale na hora.

MCP usa a mesma chave

O Conota MCP utiliza a mesma API Key da API REST, com as mesmas permissões. Não existe hoje uma chave só de leitura: quem conecta o MCP com a chave da conta recebe junto a capacidade de emitir. Ver Segurança no MCP.