Conceitos
Autenticação
Chaves de API, chaves MCP e OAuth com PKCE. Escolha o método certo para cada integração.
Toda chamada à API ou ao MCP envia uma credencial no header Authorization:
Authorization: Bearer ltp_api_...Credenciais nunca são aceitas na query string. Cookies de sessão da web não autenticam chamadas MCP.
Qual método usar
| Integração | Método recomendado |
|---|---|
| Scripts, servidores, n8n, Zapier e similares | Chave API REST |
| Agente MCP sem login interativo | Chave MCP |
| Claude, ChatGPT, Claude Code, Codex | OAuth (login no navegador) |
| App próprio que age em nome de outras pessoas | OAuth com cliente provisionado |
Chaves
Crie e revogue chaves em Integrações. Há dois tipos, e cada um funciona apenas no seu canal:
| Tipo | Prefixo | Aceita em |
|---|---|---|
| API REST | ltp_api_… | /api/v1 |
| MCP | ltp_mcp_… | /mcp |
- O segredo é exibido uma única vez. O LiveTP guarda apenas um hash SHA-256.
- Validade de 7, 30 ou 90 dias. Depois disso, crie uma nova chave.
- Até 10 chaves ativas por conta.
- Chaves não gerenciam outras chaves, webhooks ou dados da conta. Essas ações exigem a sessão web.
Se uma chave vazar, revogue-a imediatamente. Veja O que fazer se uma chave vazar.
Escopos
| Escopo | Permite |
|---|---|
scripts:read | Ler, listar e buscar roteiros, inclusive na lixeira. |
scripts:write | Criar, editar, mover para a lixeira e restaurar roteiros. |
Uma chamada sem o escopo necessário recebe 403 insufficient_scope, com o escopo exigido em error.details.scope. No MCP, as ferramentas de escrita nem aparecem na descoberta quando a conexão só tem leitura.
OAuth
Agentes compatíveis descobrem a autenticação sozinhos e abrem o login do LiveTP no navegador. O fluxo usa:
- Código de autorização com PKCE S256.
- Tokens de acesso de 5 minutos, renovados com
offline_access. - Validação de emissor, audiência, cliente e escopos a cada chamada.
- Registro dinâmico de clientes (DCR) público, limitado ao recurso
/mcp. Registrar um cliente não concede acesso: cada pessoa precisa entrar e consentir.
Na tela de consentimento, a pessoa vê o nome do aplicativo, a conta e as permissões, e pode conceder apenas leitura. O nome do aplicativo é declarado pelo próprio cliente.
Descoberta
| Documento | Conteúdo |
|---|---|
/.well-known/oauth-protected-resource/mcp | Metadados do recurso MCP. |
/.well-known/oauth-protected-resource | Metadados do recurso padrão. |
/.well-known/oauth-authorization-server/api/auth | Servidor de autorização (RFC 8414). |
O emissor é https://livetp.app/api/auth. Respostas 401 do MCP incluem WWW-Authenticate com resource_metadata, o que permite ao cliente iniciar o login automaticamente.
Clientes OAuth provisionados para a API REST (/api/v1), como os apps nativos do LiveTP, são cadastrados pela equipe. O registro dinâmico público atende apenas ao MCP.
Desconectar um agente
Em Integrações, a lista de conexões OAuth permite desconectar qualquer agente. A desconexão remove o consentimento e os tokens, e invalida na hora os tokens já emitidos. Veja Como desconectar um agente.