> ## Documentation Index
> Fetch the complete documentation index at: https://docs.goatpay.com.br/llms.txt
> Use this file to discover all available pages before exploring further.

# Iniciar autorização

> Redireciona o usuário para login e consentimento (Authorization Code + PKCE).

Redirecione o **navegador** do usuário para este endpoint. Após login e consentimento em `app.goatpay.com.br`, a GoatPay redireciona para `redirect_uri` com `code` e `state`.

<Warning>
  PKCE **S256 é obrigatório** — inclusive para clients confidential (com `client_secret`).
</Warning>

<RequestExample>
  ```bash Navegador (redirect) theme={null}
  https://api.goatpay.com.br/oauth/authorize?client_id=gp_oauth_live_...&redirect_uri=https%3A%2F%2Fsua-app.com%2Foauth%2Fcallback&response_type=code&scope=account%3Aread%20payments%3Aread&state=SEU_STATE_ALEATORIO&code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM&code_challenge_method=S256
  ```
</RequestExample>

<ResponseExample>
  ```text Redirect sucesso theme={null}
  https://sua-app.com/oauth/callback?code=gp_oac_...&state=SEU_STATE_ALEATORIO
  ```

  ```text Redirect erro theme={null}
  https://sua-app.com/oauth/callback?error=access_denied&state=SEU_STATE_ALEATORIO
  ```
</ResponseExample>

### Parâmetros de query

<ParamField query="client_id" type="string" required>
  Client ID da aplicação (ambiente DEV ou Production).
</ParamField>

<ParamField query="redirect_uri" type="string" required>
  URI cadastrada na aplicação — **match exato**, sem wildcards.
</ParamField>

<ParamField query="response_type" type="string" required>
  Deve ser `code`.
</ParamField>

<ParamField query="scope" type="string">
  Scopes separados por espaço, dentro dos `allowedScopes` da aplicação.
</ParamField>

<ParamField query="state" type="string" required>
  Valor aleatório gerado pela sua app — valide no callback.
</ParamField>

<ParamField query="code_challenge" type="string" required>
  PKCE challenge (S256).
</ParamField>

<ParamField query="code_challenge_method" type="string" required>
  Deve ser `S256`.
</ParamField>

### Erros no redirect

| `error`           | Significado                          |
| ----------------- | ------------------------------------ |
| `access_denied`   | Usuário cancelou no consentimento    |
| `invalid_scope`   | Scope não permitido para a aplicação |
| `invalid_client`  | `client_id` inválido ou inativo      |
| `invalid_request` | Parâmetro ausente ou PKCE inválido   |

<Note>
  Endpoint na raiz da API — **não** use `/v1/oauth/authorize`.
</Note>


## OpenAPI

````yaml GET /oauth/authorize
openapi: 3.1.0
info:
  title: GoatPay API
  description: >
    API pública merchant da GoatPay. Autenticação via header `X-API-Key:
    gp_live_...`.

    Respostas de sucesso usam o envelope `{ success, message, data, requestId
    }`.

    Campos internos (`accountId`, `metadata`, histórico de entregas de webhook,
    etc.) não são expostos.

    `providerTransactionId` aparece como `referenceId`; `providerInfractionId`
    como `infractionId`.

    Rate limit global: 100 requisições por minuto por API key (HTTP 429). Sem
    chave, limite por IP.
  version: 1.0.0
servers:
  - url: https://api.goatpay.com.br/v1
    description: Produção
security:
  - apiKeyAuth: []
tags:
  - name: pix
    description: >-
      Cobranças PIX (receber), reembolsos de depósito recebido e transferências
      PIX (enviar). Alias legado em payouts/* para envios.
  - name: transfer-internal
    description: Transferências entre contas GoatPay
  - name: transfer-scheduled
    description: Transferências programadas (agendar, repetir ou por saldo)
  - name: crypto
    description: Depósitos e transferências em criptomoeda
  - name: billings
    description: >-
      Cobranças avulsas (pagamento único) — boleto, cartão ou PIX na Conta
      Padrão (PF ou PJ)
  - name: subscriptions
    description: >-
      Assinaturas recorrentes com ciclo fixo — boleto, cartão ou PIX na Conta
      Padrão (PF ou PJ)
  - name: account
    description: Saldo e extrato
  - name: subaccount
    description: Subcontas merchant (carteiras lógicas sob a conta principal)
  - name: meds
    description: Disputas MED
  - name: webhooks
    description: Endpoints de webhook de saída
  - name: oauth
    description: OAuth 2.0 — autorização de terceiros (fora do prefixo /v1)
  - name: oauth-apps
    description: Gestão de aplicações OAuth (prefixo /v1, API key)
  - name: payouts
    description: Alias de transfer-pix para saques PIX
  - name: customers
    description: Clientes da loja (CRM)
  - name: products
    description: Produtos e entregas digitais
  - name: coupons
    description: Cupons de desconto para links
  - name: payment-links
    description: Links de pagamento e checkout hospedado
paths:
  /oauth/authorize:
    get:
      tags:
        - oauth
      summary: Iniciar autorização
      description: >
        Redirecione o navegador do usuário para este endpoint.

        Após login e consentimento, redireciona para `redirect_uri` com `code` e
        `state`.

        PKCE S256 é obrigatório.
      operationId: oauthAuthorize
      parameters:
        - name: client_id
          in: query
          required: true
          schema:
            type: string
          description: Client ID da aplicação (DEV ou Production).
        - name: redirect_uri
          in: query
          required: true
          schema:
            type: string
            format: uri
          description: URI cadastrada na aplicação — match exato.
        - name: response_type
          in: query
          required: true
          schema:
            type: string
            enum:
              - code
        - name: scope
          in: query
          schema:
            type: string
          description: Scopes separados por espaço.
        - name: state
          in: query
          required: true
          schema:
            type: string
          description: Valor aleatório validado no callback.
        - name: code_challenge
          in: query
          required: true
          schema:
            type: string
          description: PKCE S256 challenge.
        - name: code_challenge_method
          in: query
          required: true
          schema:
            type: string
            enum:
              - S256
      responses:
        '302':
          description: Redireciona para consentimento ou para redirect_uri com code/erro.
      security: []
      servers:
        - url: https://api.goatpay.com.br
          description: Raiz da API (sem /v1)
components:
  securitySchemes:
    apiKeyAuth:
      type: apiKey
      in: header
      name: X-API-Key
      description: Chave `gp_live_...` criada em Integrações → Chaves de API no dashboard.

````