Pular para o conteúdo principal
Um token da API pessoal lê seus dados financeiros com as suas permissões. Trate-o como uma senha.
  • Guarde-o como segredo. Use uma variável de ambiente, um gerenciador de senhas ou o cofre de segredos da sua plataforma. Nunca faça commit dele num repositório.
  • Envie-o só no header Authorization. Nunca coloque um token numa URL, numa query string, numa célula de planilha compartilhada ou numa linha de log.
  • Use o menor acesso possível. Escolha Somente leitura, a não ser que o script registre transações.
  • Use um token por script. Assim você revoga uma integração sem quebrar as outras.
  • Prefira uma validade curta. Um token de 30 ou 90 dias limita o estrago se vazar. Use Nunca expira só numa automação que você acompanha, e revogue o token quando parar de usá-la.
  • Na dúvida, revogue. Se um token pode ter vazado, revogue-o na hora em Configurações > Apps Conectados e crie outro.
O Visor guarda só um resumo irreversível de cada segredo e nunca mostra um token depois de criado.