Toda chamada leva o token no header:
Gerar o token
Em Configurações → Tokens de API, escolha:
O valor aparece uma única vez. O banco guarda só o hash: não há tela de “ver
token de novo”. Perdeu, gera outro e revoga o antigo.
As permissões do token mudam sozinhas — e isso é o desenho
As capacidades efetivas são a interseção entre o que o token pede e o que a
pessoa tem neste momento. O papel é lido a cada chamada, não no dia da emissão.
Consequências práticas:
- Se essa pessoa perder uma permissão na grade de Equipe, o token perde junto —
sem ninguém lembrar de revogar.
- Se ela sair da empresa, o token para de funcionar na hora.
- Um token nunca concede o que a pessoa não tem. Não existe escalada por token.
Escopo de dados: a resposta pode estar incompleta sem erro nenhum
Além das capacidades, a pessoa pode ter escopos que limitam quais leads ela
enxerga — por canal, por origem, ou “só os meus”. O token herda isso.
Um token emitido sobre alguém com channels: ["whatsapp"] não vê lead do
Instagram. A API responde 200, a lista vem certinha, e os totais estão menores
do que a empresa realmente tem. Não há aviso, porque do ponto de vista do token
aqueles leads não existem.
Sempre que um número não bater, chame GET /v1/me e olhe scopes e
sees_all_leads antes de qualquer outra coisa. É a causa mais comum.
Erros de autenticação
Todos vêm como 401 com o motivo em detail — inválido, expirado e revogado são
mensagens diferentes, para você saber se o problema é a variável de ambiente ou a
tela de tokens.