Tokens

Os tokens são credenciais usadas para autorizar solicitações à API do Altium 365. Todas as solicitações da API devem incluir um token válido no cabeçalho Authorization.

Os tokens são criados no seu Workspace em Admin → Developer. Somente administradores do Workspace podem criar tokens.

Tipos de Token

Há dois tipos de tokens disponíveis, que diferem na forma como são usados e nos compromissos de segurança que envolvem.

Token de Acesso de Longa Duração

Uma única credencial usada diretamente como token bearer em solicitações da API. Você configura sua validade no momento da criação — até 1 ano.

Authorization: Bearer {token}

Esta é a opção mais simples: um único valor, usado diretamente. Funciona bem para scripts, automação e desenvolvimento local, quando a facilidade de uso é mais importante do que a rotação de credenciais.

A principal limitação é que o valor do token não muda durante sua validade. Se ele for exposto, continuará válido até expirar ou ser revogado manualmente.

Refresh Token

Uma opção mais segura que separa a credencial de longa duração daquela de curta duração usada nas solicitações da API. No momento da criação, você recebe três valores:

• Client ID – identifica o cliente do token

• Client secret – autentica o cliente do token

• Refresh token – a credencial de longa duração

Você os troca por um access token de curta duração chamando o endpoint de token. O token de acesso é o que você usa nas solicitações da API. Quando ele expira, você solicita um novo usando o mesmo refresh token.

O refresh token tem uma validade configurável de até 1 ano. Os tokens de acesso que ele produz têm curta duração.

Essa abordagem é mais adequada para integrações em produção:

• A credencial que acompanha cada solicitação da API (o token de acesso) tem curta duração

• O segredo de longa duração (o refresh token) permanece no seu armazenamento seguro e nunca é enviado diretamente para a API

Consulte Usando um Refresh Token para ver o fluxo de troca de tokens.

Escolhendo um Tipo de Token

Escopos

Cada token está associado a um conjunto de OAuth scopes que define quais operações da API ele pode autorizar. Os escopos são configurados quando o token é criado e não podem ser alterados depois.

Consulte Escopos OAuth para ver a lista completa de escopos disponíveis e como eles se relacionam com os recursos da API.

Validade do Token

Ambos os tipos de token têm uma validade configurável de até 1 ano, definida no momento da criação. Não há renovação automática — quando um token expira, um novo deve ser criado.

Para refresh tokens, a validade se aplica ao próprio refresh token. Os tokens de acesso que ele produz têm uma validade menor e fixa.

Revogando um Token

Os tokens podem ser revogados em Admin → Developer a qualquer momento. Revogar um token o invalida imediatamente — quaisquer solicitações da API que usem esse token falharão com um erro de autorização.