Autenticação

Dois jeitos de provar que a conexão é sua. Os dois chegam no mesmo lugar: as suas credenciais de afiliado.

	Login (OAuth)	API key
Para quê	Claude.ai, ChatGPT e outros apps web	Claude Code, Desktop, Cursor, VS Code, scripts, API REST
Como manda	o próprio app cuida do token	header `X-API-Key`
Onde revoga	painel → Conexões de IA	painel → API keys
Expira	renova sozinho enquanto você usa	não — vale até você revogar

API key

Gere no painel, seção API keys. A chave completa (bk_xxxxxx.xxxx…) aparece uma única vez, no momento da criação: ela é guardada em hash, então não tem como mostrar de novo. Perdeu, revoga e cria outra.

Uso:

curl -X POST https://mcpdoafiliado.com/api/v1/convert-links \
  -H "X-API-Key: SUA_API_KEY" \
  -H "content-type: application/json" \
  -d '{"url":"https://shopee.com.br/product/123/456"}'

Cada key mostra no painel o prefixo, o nível, quando foi criada e o último uso — é assim que você descobre qual está parada e pode sumir.

Níveis

write — o que as ferramentas do MCP precisam (converter, buscar, consultar). É o padrão de chave nova.
admin — tudo que write faz; existe por compatibilidade com chaves antigas. Não gere admin sem motivo.

Chave com nível abaixo do necessário responde insufficient_scope (HTTP 403).

Login (OAuth 2.1)

Nos apps web você cola a URL do servidor, o app se registra sozinho (DCR), você entra com a sua conta e aprova a tela de consentimento. Não existe chave para copiar — o app renova o acesso sozinho enquanto você usa.

No painel, Conexões de IA lista cada app conectado, quando conectou e o que ele pode fazer. Desconectar derruba na hora: apaga os tokens e o consentimento, então na próxima vez o app precisa pedir autorização de novo.

Boas práticas

Uma key por lugar (uma para o Claude Code, outra para o script) — assim revogar uma não derruba o resto.
Nunca comite a key nem cole em prompt público: quem tem a chave gera links com o seu tracking.
Vazou? Revogue primeiro, investigue depois. A revogação vale na chamada seguinte.
Suas credenciais de marketplace nunca saem pelo MCP — as ferramentas devolvem links, não chaves.

← Conectar no seu app Conta e acesso →