Solicite acesso antecipado

Informe seu nome e um e-mail ou número de telefone. Entraremos em contato com os detalhes de acesso à Tajo.

Nesta página

Chaves API

As chaves API são o principal método de autenticação na API do Brevo. Oferecem uma forma simples e segura de aceder à tua conta de forma programática.

O que são chaves API?

As chaves API são identificadores únicos que autenticam a tua aplicação ao fazer pedidos à API do Brevo. Cada chave é uma string de 64 caracteres que serve simultaneamente como identificador e palavra-passe.

Example API key: xkeysib-a1b2c3d4e5f6789012345678901234567890abcdef1234567890abcdef123456-Ab1Cd2Ef3Gh4

Gerar chaves API

Guia passo a passo

  1. Entra no Brevo: acede à tua dashboard do Brevo
  2. Navega até Definições: clica no teu perfil → Definições
  3. Vai a Chaves API: seleciona “Chaves API” no menu à esquerda
  4. Cria uma nova chave: clica em “Gerar uma nova chave API”
  5. Nomeia a chave: dá-lhe um nome descritivo (ex.: “App de produção”, “Testes de desenvolvimento”)
  6. Define permissões: escolhe o nível de acesso adequado
  7. Gera: clica em “Gerar” e copia a chave imediatamente

Convenções de nomes para chaves API

Usa nomes descritivos que ajudem a identificar o propósito da chave:

  • production-web-app
  • staging-environment
  • mobile-app-ios
  • webhook-listener
  • data-sync-service

Tipos e permissões de chaves API

Chaves com acesso total 

Permissions: All API endpoints
Use cases: Complete application integration
Risk level: High - protect carefully

Chaves apenas de leitura 

Permissions: GET requests only
Use cases: Analytics, reporting, dashboards
Risk level: Low - limited access

Chaves apenas de envio 

Permissions: Transactional email sending
Use cases: Application notifications, receipts
Risk level: Medium - can send emails

Chaves para gestão de contactos 

Permissions: Contact CRUD operations
Use cases: CRM integrations, form submissions
Risk level: Medium - data modification

Usar chaves API

Autenticação por cabeçalho

Inclui a tua chave API no cabeçalho api-key:

GET /v3/account HTTP/1.1
Host: api.brevo.com
Accept: application/json
Content-Type: application/json
api-key: YOUR_API_KEY

Exemplos de código

JavaScript/Node.js 

const brevo = require('@getbrevo/brevo');


const apiInstance = new brevo.AccountApi();
apiInstance.setApiKey(brevo.AccountApiApiKeys.apiKey, process.env.BREVO_API_KEY);


// Make authenticated request
apiInstance.getAccount()
  .then(data => console.log('Account info:', data))
  .catch(error => console.error('Error:', error));

Python 

import sib_api_v3_sdk
from sib_api_v3_sdk.rest import ApiException


# Configure API key
configuration = sib_api_v3_sdk.Configuration()
configuration.api_key['api-key'] = 'YOUR_API_KEY'


# Create API instance
api_instance = sib_api_v3_sdk.AccountApi(sib_api_v3_sdk.ApiClient(configuration))


try:
    # Get account info
    api_response = api_instance.get_account()
    print(api_response)
except ApiException as e:
    print("Exception when calling AccountApi->get_account: %s\n" % e)

PHP 

<?php
require_once(__DIR__ . '/vendor/autoload.php');


// Configure API key
$config = SendinBlue\Client\Configuration::getDefaultConfiguration()->setApiKey('api-key', 'YOUR_API_KEY');


// Create API instance
$apiInstance = new SendinBlue\Client\Api\AccountApi(
    new GuzzleHttp\Client(),
    $config
);


try {
    $result = $apiInstance->getAccount();
    print_r($result);
} catch (Exception $e) {
    echo 'Exception when calling AccountApi->getAccount: ', $e->getMessage(), PHP_EOL;
}
?>

Ruby 

require 'sib-api-v3-sdk'


# Configure API key
SibApiV3Sdk.configure do |config|
  config.api_key['api-key'] = 'YOUR_API_KEY'
end


# Create API instance
api_instance = SibApiV3Sdk::AccountApi.new


begin
  # Get account info
  result = api_instance.get_account
  puts result
rescue SibApiV3Sdk::ApiError => e
  puts "Exception when calling AccountApi->get_account: #{e}"
end

Segurança das chaves API

Armazenamento seguro

Variáveis de ambiente (recomendado)

Terminal window
# .env file
BREVO_API_KEY=xkeysib-your-api-key-here


# Usage in code
const apiKey = process.env.BREVO_API_KEY;

Gestores de segredos na cloud

  • AWS Secrets Manager
  • Google Secret Manager
  • Azure Key Vault
  • HashiCorp Vault

Boas práticas de segurança

  1. Nunca escrevas chaves diretamente no código

    // ❌ Bad - hardcoded
    const apiKey = "xkeysib-a1b2c3d4...";
    

    // ✅ Good - environment variable
    const apiKey = process.env.BREVO_API_KEY;

  2. Usa chaves diferentes por ambiente

    Production:  BREVO_API_KEY_PROD
    Staging:     BREVO_API_KEY_STAGING
    Development: BREVO_API_KEY_DEV

  3. Roda as chaves regularmente

    • Define lembretes para rotação trimestral
    • Usa ferramentas de automação para a rotação
    • Tem um plano de rollback pronto

  4. Monitoriza o uso das chaves

    • Configura alertas para atividade invulgar
    • Analisa os registos de uso mensalmente
    • Acompanha padrões de acesso geográfico

Gestão de chaves

Monitorização das chaves ativas

Acompanha as chaves ativas na dashboard:

Key Name: production-web-app
Created: 2024-01-15
Last Used: 2024-01-20 14:30 UTC
Requests Today: 1,247
Status: Active

Processo de rotação de chaves

  1. Gerar nova chave: cria uma chave de substituição
  2. Atualizar a configuração: faz deploy com a nova chave
  3. Monitorizar: confirma que a nova chave funciona corretamente
  4. Período de tolerância: mantém a chave antiga ativa durante 24–48 horas
  5. Revogar a chave antiga: elimina a chave anterior

Revogação de emergência

Se uma chave for comprometida:

  1. Revogação imediata: elimina a chave na dashboard
  2. Gerar substituta: cria uma nova chave de imediato
  3. Atualizar aplicações: faz deploy com a nova chave o quanto antes
  4. Monitorizar atividade: verifica se houve uso não autorizado
  5. Relatório de incidente: documenta o incidente de segurança

Rate limiting e chaves API

Cada chave API tem limites de pedidos individuais:

  • Plano Gratuito: 300 pedidos/dia
  • Plano Starter: 20 000 pedidos/dia
  • Plano Business: 50 000 pedidos/dia
  • Plano Enterprise: limites personalizados

Cabeçalhos de rate limit 

HTTP/1.1 200 OK
X-RateLimit-Limit: 1000
X-RateLimit-Remaining: 999
X-RateLimit-Reset: 1640995200

Lidar com rate limits 

async function makeApiCall() {
  try {
    const response = await fetch(url, { headers });


    if (response.status === 429) {
      const resetTime = response.headers.get('X-RateLimit-Reset');
      const waitTime = resetTime - Math.floor(Date.now() / 1000);


      console.log(`Rate limited. Waiting ${waitTime} seconds`);
      await new Promise(resolve => setTimeout(resolve, waitTime * 1000));


      // Retry the request
      return makeApiCall();
    }


    return response.json();
  } catch (error) {
    console.error('API call failed:', error);
    throw error;
  }
}

Resolução de problemas com chaves API

Mensagens de erro comuns

Chave API inválida (401)

{
  "code": "unauthorized",
  "message": "Invalid API key provided"
}

Permissões insuficientes (403)

{
  "code": "permission_denied",
  "message": "API key does not have required permissions"
}

Rate limit excedido (429)

{
  "code": "too_many_requests",
  "message": "Rate limit exceeded for API key"
}

Checklist de depuração

  • A chave está formatada corretamente (64 caracteres)
  • Sem espaços extra nem caracteres invisíveis
  • A chave tem as permissões necessárias
  • A chave está ativa (não revogada)
  • Dentro dos limites de pedidos
  • A usar o endpoint correto
  • Cabeçalhos formatados corretamente

Próximos passos

Solicite acesso antecipado

Informe seu nome e um e-mail ou número de telefone. Entraremos em contato com os detalhes de acesso à Tajo.

detecção automática
Assistente AI

Olá! Pergunte-me qualquer coisa sobre a documentação.