Autenticação - Credicarro

A API usa Bearer token. Você troca seu clientId e clientSecret por um token de acesso e envia esse token em todas as demais requisições.

As credenciais (clientId e clientSecret) são geradas pelo time Credicarro. Peça as suas em atendimento@credicarro.com.br. Cada ambiente — staging e produção — tem as suas credenciais.

Gerar o token

curl -X POST https://api.staging.credicarro.com.br/integration/v1/authentication/accesstoken \
  -H "Content-Type: application/json" \
  -d '{ "clientId": "<client-id>", "clientSecret": "<client-secret>" }'

Resposta (200)

{
  "token_de_acesso": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "expira_em_segundos": 3600,
  "expira_em": "2025-08-12T18:06:28.088+00:00",
  "tipo_de_token": "Bearer",
  "escopo": "credicarro.integration.access/full"
}

Campo	Descrição
`token_de_acesso`	O token a enviar no header `Authorization`.
`expira_em_segundos`	Validade do token, em segundos.
`expira_em`	Data e hora (UTC) até quando reaproveitar o token. Já vem com 60 segundos de margem antes da expiração real.
`tipo_de_token`	Sempre `Bearer`.
`escopo`	Escopo concedido ao token.

Usar o token

Envie o token em todas as requisições, no header Authorization. O mesmo token vale para todas as rotas da API.

curl https://api.staging.credicarro.com.br/integration/v2/proposal/{propostaId} \
  -H "Authorization: Bearer {token_de_acesso}"

Reaproveite o token

Não gere um token por requisição. Guarde o token em cache e gere outro só quando ele estiver perto de expirar:

Guarde token_de_acesso e expira_em em memória (ou em um cache compartilhado, se você tiver várias instâncias)
Antes de cada chamada, use o token guardado enquanto expira_em não tiver passado
Caso contrário, gere um novo token e substitua o guardado

Se uma chamada retornar 401, gere um novo token e repita a chamada uma vez.

Erros de autenticação

A API retorna 401 Unauthorized (sem corpo) quando:

O header Authorization não foi enviado
O token é inválido (assinatura, emissor ou tipo)
O token expirou

Se a integração do parceiro for desativada, as rotas retornam 403 com tipo Integration.Access.Inactive, mesmo com um token válido. Em POST /v1/authentication/accesstoken:

Situação	Resposta
`clientId` ou `clientSecret` ausente	`400` com `Validation.Field.Required`
Credenciais inválidas ou integração inativa	`401` com `tipo` `Integration.Authentication.InvalidCredentials`

Boas práticas de segurança

Guarde clientId e clientSecret em variáveis de ambiente ou em um gerenciador de segredos — nunca no código-fonte
Gere o token só no seu backend. Nunca exponha o clientSecret em apps mobile ou páginas web
Não registre o token nem o clientSecret em logs
A Credicarro nunca pede suas credenciais por e-mail ou telefone

Ambientes

Staging: https://api.staging.credicarro.com.br/integration · Produção: https://api.credicarro.com.br/integration. Veja Ambiente de testes e Ir para produção.

​Gerar o token

​Usar o token

​Reaproveite o token

​Erros de autenticação

​Boas práticas de segurança

Ambientes

Gerar o token

Usar o token

Reaproveite o token

Erros de autenticação

Boas práticas de segurança