# Autenticação

Toda chamada precisa de uma chave. Você gera a chave na tela **API** do app, em `https://app.toreva.com.br/desenvolvedor`. A chave pertence à sua empresa e é gerada por um administrador de uma conta com plano ativo. Uma conta avulsa já se qualifica assim que é criada.

Envie a chave no cabeçalho `Authorization`:

```
Authorization: Bearer tor_live_ABCDEFGH2345_xxxxxxxxxxxxxxxxxxxxxxxxx
```

Se o seu sistema não deixa mudar o cabeçalho `Authorization`, use `X-API-Key`:

```
X-API-Key: tor_live_ABCDEFGH2345_xxxxxxxxxxxxxxxxxxxxxxxxx
```

Nos exemplos desta documentação, a chave fica na variável de ambiente `TOREVA_API_KEY`. Não escreva a chave no código.

## O que você precisa saber sobre a chave

### Ela aparece uma única vez

A chave aparece no momento em que é gerada, e nunca mais. A Torêva guarda só um resumo criptográfico dela: nem a gente consegue recuperá-la. Se você perder a chave, revogue e gere outra.

### Ela é um segredo de servidor

Não coloque a chave em código que roda no navegador nem em aplicativo distribuído. Qualquer pessoa consegue ler a chave nesses lugares. A API não aceita chamadas de páginas web (não há CORS liberado) justamente para que esse erro não passe despercebido.

### O trecho do meio identifica a chave

Em `tor_live_ABCDEFGH2345_...`, o trecho `ABCDEFGH2345` identifica a chave. Ele não é secreto. Você pode citá-lo num chamado de suporte, e é por ele que a chave aparece no app.

### Revogar tem efeito em até 1 minuto

Revogue a chave na hora se suspeitar de vazamento. Para não interromper a integração, gere a chave nova antes e troque no seu servidor.

## Erros de autenticação

Chave ausente, inválida, revogada ou expirada recebe `401 API_KEY_INVALID`. Repetir a chamada com a mesma chave devolve o mesmo erro. Veja todos os códigos em [Erros e limites](https://toreva.com.br/developers/erros-e-limites).