Autenticação

A API do MeuPonto360 usa API Keys para autenticar requisições de sistemas externos. Cada chave pertence a um tenant (empresa) e carrega escopos que limitam o que pode ser feito.

Como funciona

1No Dashboard, acesse Configurações → API e Integrações e clique em Nova chave.
2Escolha um nome descritivo (ex: "Integração Protheus") e os escopos necessários.
3Copie a chave exibida — ela começa com mp360_sk_. Ela não será mostrada novamente.
4Inclua o header x-api-key em todas as requisições.

Usando a chave

Inclua a chave no header x-api-key de cada requisição:

curl https://api.meuponto360.com/v1/employees \
  -H "x-api-key: mp360_sk_sua_chave_aqui"

Escopos disponíveis

Cada chave tem permissões explícitas. Use o mínimo de escopos necessário para cada integração.

Escopo	Permissão	Endpoints
`time-entries:read`	Leitura	`GET /v1/time-entries`
`time-entries:write`	Escrita	`POST /v1/time-entries`
`employees:read`	Leitura	`GET /v1/employees`
`employees:write`	Escrita	`POST /v1/employees, PATCH /v1/employees/:id`
`reports:read`	Leitura	`GET /v1/reports/period, GET /v1/reports/afdt`

Produção vs Sandbox

Use chaves mp360_test_ para testes de integração sem afetar dados reais. Mesma URL, isolamento por chave.

curl

# Produção — afeta dados reais
curl https://api.meuponto360.com/v1/employees \
  -H "x-api-key: mp360_sk_sua_chave_producao"

# Sandbox — dados de teste isolados
curl https://api.meuponto360.com/v1/employees \
  -H "x-api-key: mp360_test_sua_chave_sandbox"

Veja mais detalhes em Sandbox.

Segurança

⚠️

Nunca exponha sua API Key em código client-side (browser). Use sempre em ambientes server-side ou variáveis de ambiente seguras.

• A chave é armazenada apenas como hash SHA-256 — nem o MeuPonto360 conhece o valor original após a criação.
• Revogar uma chave desativa o acesso imediatamente.
• Cada uso da chave é registrado em lastUsedAt e no log de auditoria.
• Você pode definir uma data de expiração ao criar a chave.

Erros de autenticação

Status	Causa
`401`	Header x-api-key ausente ou chave inválida/expirada/revogada
`403`	Chave válida mas sem o escopo necessário para o endpoint
`429`	Rate limit excedido (60 req/min)