PicChat

Guias

Autenticação e tokens

A API usa Bearer token: um token por integração, enviado em toda requisição no header Authorization. Não há login, sessão nem refresh — o token vale até ser excluído no painel.

GET /v1/me HTTP/1.1
Host: api.picchat.com.br
Authorization: Bearer SEU_TOKEN

Tipos de token

Token Onde gerar Para quê
Token de integração Configurações → Integrações → novo app (abrir) Sistemas: CRM, site, formulários, ERP, scripts
Token pessoal Menu do seu perfil → Minha conta → Conectar ao Claude O MCP no Claude; também funciona nas consultas /v1

Os dois funcionam do mesmo jeito na API. A diferença é de organização: o token de integração fica listado na tela de Integrações da conta; o pessoal fica no seu perfil.

O token aparece uma vez só, no momento em que é criado. Guarde direto num cofre de segredos (variável de ambiente, Secrets Manager, Vault). Nunca coloque o token no código-fonte, no front-end ou em URL.

O token age como um usuário

Todo token pertence a um usuário da conta e herda as permissões dele — o mesmo que esse usuário vê no painel:

  • Usuário sem grupo de permissão é administrador e consulta tudo.
  • Usuário com grupo só consulta o que o grupo libera. Cada endpoint mostra na API Reference a permissão exigida (ex.: Inbox › ver para tíquetes e mensagens).
  • Usuário vinculado a canais só enxerga tíquetes, mensagens e notas desses canais.

Para integrações de sistema, crie um usuário próprio (ex.: "Integração CRM") com um grupo de permissão só com o necessário e gere o token com ele. Assim a integração não depende da conta de uma pessoa e tem o mínimo de acesso.

GET /v1/me mostra, em access, o usuário do token, o grupo, as permissões, os canais e quais consultas estão liberadas — use para conferir o que um token pode fazer.

Escopo da conta

O token já identifica a conta. Você não precisa mandar account_id em nenhuma chamada. Se mandar (na query ou no corpo), ele precisa ser o da própria conta do token; qualquer outro valor devolve 403 account_id não pertence ao token.

Erros de autenticação

Código Quando
498 Token ausente, malformado, de uma conta inexistente ou excluído no painel
403 Token válido, mas o usuário não tem a permissão da consulta, o canal está fora do escopo dele ou o account_id informado é de outra conta

Revogar um token

Exclua o token na mesma tela em que foi criado. A partir daí as chamadas com ele respondem 498. Se um token vazou, exclua e gere outro — não há como "trocar o segredo" de um token existente.