Autenticação da conta BaaS

OAuth e HMAC para operações da conta titular criada pelo BaaS.

Autenticação da conta BaaS: saldo, Pix, boletos, limites e webhooks de conta. Token obtido aqui não abre onboarding nem gerencia seller webhooks.

Scopes e jornada: Conta BaaS · Sobre o BaaS.

client_id / client_secret de conta (em geral após onboarding e evento de credenciais).
Scopes devem incluir o que for testar: Pix, saldo, boletos, webhooks, etc.
Persista access_token, substitui o token da plataforma BaaS no mesmo slot do ambiente.
Este Login não usa HMAC.

Mesmo algoritmo da plataforma BaaS; use access_token e hmac_secret desta conta.

Camada	Headers
OAuth	`Authorization: Bearer {{access_token}}`
Integridade	`X-Timestamp`, `X-Nonce`, `X-Signature`

Todos os /api/v2/baas/* da conta BaaS exigem Bearer + HMAC (não há status sem HMAC nesta árvore).

Mensagem canônica

Seis linhas: METHOD, PATH (com /api/v2), QUERY, BODY, TIMESTAMP, NONCE, separadas por \n.

GET assinados: BODY usual [].
POST/PATCH: JSON exatamente igual ao corpo enviado.
Assinatura: HMAC-SHA256(mensagem, hmac_secret) → X-Signature (hex).

Fluxo de integração

Gere HMAC após login da conta. Algoritmo: Autenticação da plataforma BaaS (mesma mensagem canônica de 6 linhas).

Ordem de teste

Endpoints

Contrato HTTP: Referência API, Login (credenciais de conta, não do parceiro).

Pedido


Método	`POST`
Path	`/api/v2/auth/login`
URL	`{{base_url}}/api/v2/auth/login`

Autenticação

Basic Auth: {{client_id}} / {{client_secret}} (credenciais de conta)
Sem Bearer e sem headers X-*.

Corpo

grant_type=client_credentials e scope={{scopes}} (scopes da conta).

Resposta

Grave access_token no ambiente (após o Login).

Regras de negócio

Credenciais obtidas após onboarding (ex.: webhook de credenciais de conta).
Scopes devem cobrir Pix, saldo, boletos ou webhooks que for exercitar.
Substitui o token da plataforma em {{access_token}} durante testes desta árvore.
Pedidos seguintes exigem Bearer + HMAC com hmac_secret da conta.

Exemplo cURL

curl --request POST \
  --url "{{base_url}}/api/v2/auth/login" \
  --user "{{client_id}}:{{client_secret}}" \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'scope=baas.balances.read baas.statements.read baas.accounts.read baas.accounts.write baas.key-managements.read baas.key-managements.write baas.pix-payments.write baas.pix-cash-in.read baas.pix-cash-in.write baas.bankslip-payments.read baas.bankslip-payments.write baas.webhooks.read baas.webhooks.write baas.contracts.read'

Corpo (`application/x-www-form-urlencoded`)

Campo	Valor
`grant_type`	`client_credentials`
`scope`	`{{scopes}}`

Resposta 200: OK

{
  "token_type": "Bearer",
  "expires_in": 3600,
  "access_token": "{{access_token}}"
}

Webhook — Recebimento

Notificação de Recebimento de Pix (QR Code pago)

Conta BaaS

Jornada do titular: saldo, Pix, boletos, limites e webhooks da conta.