Segurança

A chave secreta#

A chave secreta (sk_live_…, sk_test_…) lê e cria propostas em nome da empresa. Trate-a como uma senha:

• Nunca no navegador, no aplicativo do celular, num repositório de código ou num print. A API não libera as respostas para páginas da web (sem CORS).
• Guarde numa variável de ambiente ou num cofre de segredos do seu servidor.
• Use a de Teste enquanto desenvolve; a de Produção só no servidor que está no ar.
• A Lafra guarda só uma impressão (SHA-256) da chave: nem a equipe da Lafra consegue lê-la de volta. Perdeu, gere outra.

O mesmo vale para o segredo do webhook (whsec_…).

A chave publicável#

A chave publicável (pk_live_…, pk_test_…) foi feita para ficar no HTML do site, à vista de todos. Ela só abre o formulário de orçamento, e só dentro dos domínios autorizados. Por isso ela não se troca: quem protege é a lista de domínios. Mantenha a lista só com os sites da empresa.

Trocar e revogar#

Em Propostas › Integração (dono e administradores):

• Gerar nova chave cria outra chave secreta do modo e revoga a anterior na hora. Atualize o seu servidor logo em seguida: os pedidos com a chave antiga passam a receber 401.
• Revogar desliga a API daquele modo sem criar outra chave.
• Gerar novo segredo troca o segredo do webhook na hora; os envios seguintes já vêm assinados com o novo.

Dados pessoais#

As solicitações e as propostas têm dados pessoais (nome, telefone, e-mail, CPF ou CNPJ, endereço). Ao recebê-los pela API ou pelo webhook, o seu sistema passa a ser responsável por eles também (LGPD): guarde só o que precisa, em lugar protegido, e não registre o corpo inteiro dos envios em logs abertos.