Ambientes e chaves

Ambientes

Ambiente	Base da API	Prefixo da chave	Cartões
Homologação	`https://pay-api.staging.bloomx.cloud`	`wp_test`	só cartões de teste; nada é cobrado
Produção	`https://pay-api.bloomx.cloud`	`wp_live`	cartões reais; cobra de verdade

A API, as rotas e as respostas são as mesmas nos dois ambientes. Desenvolva e homologue em homologação e troque, na publicação, só a base da API e a chave.

Uma chave só autentica no ambiente dela: wp_test em homologação e wp_live em produção. Uma chave usada no ambiente errado recebe 401 unauthorized.

Formato da chave

wp_test.<key_id>.<segredo>

A chave tem três partes separadas por ponto: o prefixo do ambiente, o identificador público da chave e o segredo. Ela é, ao mesmo tempo, a identificação do seu estabelecimento: nenhuma rota recebe o código do estabelecimento no corpo.

Como pedir uma chave

Peça a chave ao seu contato comercial na CDX Pay. A CDX Pay emite a chave para o seu estabelecimento com as permissões que você precisa e entrega o texto completo uma única vez.

Comece por uma chave wp_test e só peça a wp_live depois de concluir a homologação (Ambiente de testes).
Guarde a chave num cofre de segredos do servidor do e-commerce. Ela nunca vai para o navegador, para o aplicativo, para o repositório de código nem para logs.
Se a chave vazar, peça a revogação e uma chave nova. Uma chave revogada recebe 401 unauthorized.

Permissões

Permissão	O que libera
`payments:read`	`GET /v1/capabilities`, `GET /v1/payments` e `GET /v1/payments/{id}`
`payments:write`	`POST /v1/payments`, a captura (`POST /v1/payments/{id}/capture`) e o cancelamento e estorno (`POST /v1/payments/{id}/cancel`)
`cards:write`	`POST /v1/cards` (guardar o cartão no cofre)
`webhooks:write`	`PUT /v1/webhook-endpoint` e `GET /v1/webhook-endpoint`

Uma chave sem a permissão da rota recebe 403 insufficient_scope. Atenção: payments:write inclui o estorno. Se a sua operação separa quem cobra de quem estorna, peça chaves diferentes.