Autenticação
Toda chamada leva a chave de API da sua conta no header Authorization, no formato Bearer. Crie as chaves no Painel da API → Chaves de API. A chave inteira aparece uma única vez; guardamos só o hash.
sk_test_…Sandbox: emite em simulado ou em homologação, sem valor fiscal. Veja os ambientes.
sk_live_…Produção: nota fiscal de verdade.
Os dados de sandbox e de produção são separados: uma chave sk_test_ não vê as notas de produção e vice-versa. Empresas, tomadores e serviços são da conta e valem nos dois.
Escopos
Uma chave pode ter escopos. Sem escopos, ela vale para tudo.
nfse:emitirEmitir (uma nota ou em lote), cancelar, reprocessar, reenviar e-mail e gerir o catálogo de tomadores e serviços.
nfse:lerConsultar notas, PDF, XML e linha do tempo; ler empresas, catálogo, municípios e requisições.
empresas:gerirCadastrar e alterar empresas, configuração fiscal, certificado A1, credenciais da prefeitura, liberar produção e desativar.
webhooks:gerirCadastrar, alterar, testar e apagar webhooks; ver e reenviar entregas; rotacionar o segredo.
Sem a chave, a resposta é 401 (chave_ausente ou chave_invalida); sem o escopo, 403 escopo_insuficiente.
Nunca use a chave no front-end ou em apps. Faça as chamadas a partir do seu servidor.
Authorization: Bearer sk_test_7b10…