Aplicações OAuth (API)

Gerencie aplicações OAuth pela API pública /v1/oauth-apps/* — mesmo padrão de webhooks: X-API-Key, envelope JSON e rate limit global.

O protocolo OAuth (/oauth/authorize, /oauth/token) está no guia OAuth 2.0. Esta página cobre o cadastro e gestão de apps antes/depois do fluxo de autorização.

Autenticação

X-API-Key: gp_live_SUA_CHAVE
Content-Type: application/json

Respostas seguem o envelope padrão:

{
  "success": true,
  "message": "…",
  "data": { },
  "requestId": "req_abc"
}

Rate limit: 100 requisições/minuto por API key (HTTP 429 ao exceder), igual às demais rotas /v1/*.

Pré-requisitos

Conta com API pública habilitada (solicite ao suporte GoatPay se necessário).
Chave com permissões oauth-apps/* — tabela em Permissões.
Para apps de terceiros consumirem /v1/*, após criar o app use o fluxo OAuth.

Fluxo típico (dono da app)

1. Listar scopes

GET /oauth-apps/scopes/list — scopes permitidos no cadastro.

2. Criar app

POST /oauth-apps/create — nome, descrição e allowedScopes.

3. Credenciais DEV/PROD

POST clients/ensure por ambiente; guarde o clientSecret (exibido uma vez).

4. Redirect URIs

PUT redirect-uris — match exato no authorize.

5. Publicar fluxo OAuth

Redirecione usuários para GET /oauth/authorize com PKCE.

6. Monitorar

GET stats e authorizations/list.

Papéis

Papel	Quem é	Rotas
Dono da aplicação	Conta que registrou o app OAuth	`list`, `create`, `get`, `update`, `delete`, `stats`, `authorizations/`, `clients/`
Resource owner	Conta que autorizou um app de terceiros	`authorized-apps/list`, `authorized-apps/revoke`

Referência de endpoints

Dono da aplicação

Método	Rota	Documentação
`GET`	`/oauth-apps/scopes/list`	Scopes
`GET`	`/oauth-apps/list`	Listar
`POST`	`/oauth-apps/create`	Criar
`GET`	`/oauth-apps/get/{id}`	Consultar
`PATCH`	`/oauth-apps/update/{id}`	Atualizar
`DELETE`	`/oauth-apps/delete/{id}`	Remover
`GET`	`/oauth-apps/stats/{id}`	Estatísticas
`GET`	`/oauth-apps/authorizations/list/{applicationId}`	Autorizações
`POST`	`/oauth-apps/authorizations/revoke/{applicationId}/{authorizationId}`	Revogar (dono)
`POST`	`/oauth-apps/clients/ensure/{applicationId}/{environment}`	Gerar client
`POST`	`/oauth-apps/clients/regenerate-secret/{applicationId}/{environment}`	Regenerar secret
`PUT`	`/oauth-apps/clients/redirect-uris/{applicationId}/{environment}`	Redirect URIs

Resource owner

Método	Rota	Documentação
`GET`	`/oauth-apps/authorized-apps/list`	Apps conectados
`POST`	`/oauth-apps/authorized-apps/revoke/{authorizationId}`	Revogar acesso

Webhooks OAuth

Eventos oauth.authorization.*, oauth.application.* e oauth.client.* são entregues aos endpoints cadastrados na conta. Cadastre via /v1/webhooks/* com API key ou com bearer OAuth (webhooks:write). Detalhes no guia de webhooks.

Dashboard (alternativa)

O mesmo fluxo está disponível na UI: Aplicações OAuth e Conexões.

Introdução

Webhooks

WebSocket

PIX

Conta

Loja

Subcontas

OAuth 2.0

Aplicações OAuth (API)

Autenticação

Pré-requisitos

Fluxo típico (dono da app)

Papéis

Referência de endpoints

Dono da aplicação

Resource owner

Webhooks OAuth

Dashboard (alternativa)

Relacionado

​Autenticação

​Pré-requisitos

​Fluxo típico (dono da app)

​Papéis

​Referência de endpoints

​Dono da aplicação

​Resource owner

​Webhooks OAuth

​Dashboard (alternativa)

​Relacionado

Autenticação

Pré-requisitos

Fluxo típico (dono da app)

Papéis

Referência de endpoints

Dono da aplicação

Resource owner

Webhooks OAuth

Dashboard (alternativa)

Relacionado