Autenticação
Toda requisição é autenticada por uma API Key secreta enviada como Bearer token.
Authorization: Bearer sk_live_...
Authorization: Bearer sk_test_...Identificação da loja
A Pitra identifica a loja automaticamente pela API Key. O integrador não envia store_id para escolher a loja — qualquer tentativa de informar outra loja no corpo da requisição é rejeitada com invalid_request.
Boas práticas
- API Keys são secretas: tratam-se de credenciais de servidor.
- Nunca coloque uma API Key no frontend.
- Nunca envie a API Key para o navegador do cliente.
- Nunca faça commit da API Key no Git.
- Use variáveis de ambiente e um cofre de segredos.
- Revogue imediatamente qualquer chave exposta.
Requisições sem header devolvem
401 authentication_required. Chaves inválidas, revogadas ou expiradas devolvem invalid_api_key, revoked_api_key ou expired_api_key.Exemplos
curl https://pitra.com.br/api/public/v1/products \
-H "Authorization: Bearer $PITRA_API_KEY"