Autenticação e permissões

Cada requisição leva uma chave de API no cabeçalho Authorization:

HTTP

Authorization: Bearer wm_live_5f0c…

As chaves são criadas no painel (Integrações → Webhooks e API, somente administradores), com nome, permissões e expiração opcional. Elas pertencem à organização: o que você fizer com elas fica no log de atividade em nome do usuário que a criou, com o identificador da chave.

Permissões

Uma chave só entra nas rotas que declaram alguma de suas permissões. O resto da API (usuários, faturamento, chaves, WhatsApp) é exclusivo para sessões do painel e responde 403 API_KEY_NOT_ALLOWED_HERE.

Permissão	Libera
`contacts:read`	Listar e ver contatos, sua linha do tempo e suas notas
`contacts:write`	Criar, editar, excluir, lote, identidades e notas
`campaigns:read`	Listar e ver campanhas, destinatários e custo previsto
`campaigns:write`	Criar, adicionar público, enviar, pausar e retomar
`conversations:read`	Listar e ver conversas
`automations:read`	Listar automações e suas execuções
`reports:read`	Todos os relatórios
`messages:send`	Reservado para a próxima versão (enviar mensagens em conversas)

Peça apenas as permissões que cada integração precisa: uma chave para o seu site com contacts:write, outra para o seu dashboard com reports:read.

Respostas de autenticação

Código	`code`	O que acontece
401	`API_KEY_INVALID`	A chave não existe, está escrita errado ou foi revogada
401	`API_KEY_EXPIRED`	A chave expirou: crie outra
403	`API_KEY_SCOPE_MISSING`	A rota exige uma permissão que a chave não tem
403	`API_KEY_NOT_ALLOWED_HERE`	A rota não está aberta a chaves de API
429	`API_KEY_RATE_LIMITED`	Mais de 600 requisições em um minuto com essa chave

Boas práticas

Guarde a chave no gerenciador de segredos ou em variáveis de ambiente do seu servidor; nunca no navegador nem em um app móvel.
Uma chave por integração: assim, revogar uma não interrompe as demais.
Defina expiração para as chaves de testes e de fornecedores.
Rotacione as chaves quando mudar a pessoa ou a empresa que as usa.