Autenticação

Dois jeitos de provar que a conexão é sua. Os dois chegam no mesmo lugar: as suas credenciais de afiliado.

	Login (OAuth)	API key
Para quê	Claude.ai, ChatGPT e outros apps web	Claude Code, Desktop, Cursor, VS Code, scripts, API REST
Como manda	o próprio app cuida do token	header `X-API-Key`
Onde revoga	painel → Conectar IA → desconectar	painel → Conectar IA → revogar
Expira	renova sozinho enquanto você usa	não, vale até você revogar

API key

Gere no painel, em Conectar IA. A chave completa (bk_xxxxxx.xxxx…) aparece uma única vez, no momento da criação: ela é guardada em hash, então não tem como mostrar de novo. Perdeu, revoga e cria outra.

Uso:

curl -X POST https://mcpdoafiliado.com/api/v1/convert-links \
  -H "X-API-Key: SUA_API_KEY" \
  -H "content-type: application/json" \
  -d '{"url":"https://shopee.com.br/product/123/456"}'

Cada key mostra no painel o prefixo, o nível, quando foi criada e o último uso. É assim que você descobre qual está parada e pode sumir.

Níveis

write: o que as ferramentas do MCP precisam (converter, buscar, consultar). É o padrão de chave nova.
admin: tudo que write faz; existe por compatibilidade com chaves antigas. Não gere admin sem motivo.

Chave com nível abaixo do necessário responde insufficient_scope (HTTP 403).

Login (OAuth 2.1)

Nos apps web você cola a URL do servidor, o app se registra sozinho (DCR), você entra com a sua conta e aprova a tela de consentimento. Não existe chave para copiar: o app renova o acesso sozinho enquanto você usa.

No painel, Conectar IA lista cada app conectado por login, quando conectou e o que ele pode fazer. Desconectar derruba na hora: apaga os tokens e o consentimento, então na próxima vez o app precisa pedir autorização de novo.

Boas práticas

Uma key por lugar (uma para o Claude Code, outra para o script). Assim, revogar uma não derruba o resto.
Nunca comite a key nem cole em prompt público: quem tem a chave gera links com o seu tracking.
Vazou? Revogue primeiro, investigue depois. A revogação vale na chamada seguinte.
Suas credenciais de marketplace nunca saem pelo MCP: as ferramentas devolvem links, não chaves.