Programa de Parceiros

O Programa de Parceiros permite que seu produto se conecte ao OrbitSender e aja em nome de um usuário — ler estatísticas, listar campanhas, gerar um link de login delegado — usando OAuth 2.0 (Authorization Code + PKCE). O usuário autoriza o seu app numa tela de consentimento e você recebe um token escopado e revogável. Você nunca vê nem toca a senha, as credenciais de marketplace ou os dados pessoais dele.

App de parceiro vs. API key

São dois modelos diferentes de acesso à API:

• App de parceiro (OAuth): seu produto age em nome de outro usuário do OrbitSender. O usuário passa por uma tela de consentimento, aprova os scopes e pode revogar o acesso quando quiser. O token é escopado, tem validade curta e as respostas vêm mascaradas (sem PII).
• API key (self-service): o próprio dono da conta gera uma chave para automatizar a própria conta. É acesso direto, sem tela de consentimento e sem máscara de parceiro.

Modelo de segurança em alto nível

O programa é desenhado para que o parceiro tenha o mínimo necessário e nada além disso:

• Consentimento por-scope. Cada permissão (scope) é revisada por um superadmin do OrbitSender antes de o app entrar no ar, e o usuário consente scope a scope na tela de autorização. Scopes de marketplace (integrations:*) nunca são concedidos a parceiro.
• Token escopado e revogável. O access_token (orb_at_...) vale por ~1h e carrega apenas os scopes aprovados e consentidos. O refresh_token (orb_rt_...) é rotativo e o acesso pode ser revogado a qualquer momento.
• Resposta mascarada. Quando a chamada vem de um app de parceiro, aplicamos uma allowlist default-deny: o parceiro nunca vê PII (telefones, JIDs de grupo, nomes de contatos), nem a cadência anti-ban, nem credenciais de marketplace. IDs internos de canal viram referências opacas (channel_ref).
• Guardamos só o hash. Todos os tokens são armazenados apenas como SHA-256 — nunca em texto puro.

Explore a documentação

Início rápido

GET https://app.orbitsender.com/oauth/authorize?response_type=code&client_id=cli_abc123&redirect_uri=https://seu-app.com/callback&scope=statistics:read%20campaigns:read&state=xyz&code_challenge=E9Melhoa...&code_challenge_method=S256

curl -X POST https://api.orbitsender.com/api/oauth/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d grant_type=authorization_code \
  -d client_id=cli_abc123 \
  -d code=orb_ac_... \
  -d redirect_uri=https://seu-app.com/callback \
  -d code_verifier=SEU_CODE_VERIFIER

{
  "success": true,
  "access_token": "orb_at_...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "orb_rt_...",
  "scope": "statistics:read campaigns:read"
}

curl https://api.orbitsender.com/api/external/partner/statistics?days=30 \
  -H "Authorization: Bearer orb_at_..."