Autenticação
Chaves de API, conexões OAuth, escopos e qual credencial usar.
Há dois tipos de credencial, e a diferença vai além da aparência.
Chaves de API
Uma credencial de serviço do workspace. Quem a possui age em nome do workspace. Somente um admin pode criar uma, e é ele quem escolhe os escopos.
curl https://api.atelier201.com/v1/sites \
-H "Authorization: Bearer atelier201_live_..."O segredo é exibido uma única vez, na criação. Atelier201 armazena um hash e, por isso, não pode exibi-lo novamente. Se você o perder, revogue-o e crie outro.
Conexões OAuth
Uma delegação de uma pessoa a um cliente: um cliente MCP ou atelier201 auth login. Ela
carrega a identidade da pessoa e, por isso, também está sujeita ao limite de acesso dos membros do workspace:
um admin decide quanto do próprio acesso um membro pode delegar a um robô.
Atelier201 implementa OAuth 2.1 com PKCE, registro dinâmico de clientes (RFC 7591) e o fluxo de dispositivo. Todos os clientes compatíveis são públicos, portanto não há segredos de cliente: o PKCE os substitui.
Escopos
Conceda apenas os escopos necessários para o trabalho.
| Escopo | Permite |
|---|---|
account:read | Consultar o workspace, o plano e o saldo de créditos. |
usage:read | Consultar o uso de créditos ao longo do tempo. |
sites:read | Consultar sites: arquivos, conteúdo, builds, prévias, histórico e domínios. |
sites:write | Criar sites, editar arquivos e conteúdo, enviar mídia, gerar builds e compartilhar prévias. Nada se torna público. |
sites:publish | Publicar, reverter ou tirar um site do ar, e excluir um site. Isso altera o que os visitantes veem. |
domains:write | Conectar, verificar e remover domínios personalizados, e escolher o endereço principal de um site. |
media:generate | Criar imagens e vídeos com IA, pagos com os créditos do workspace pelo preço exibido antes de cada criação. |
sites:write não permite publicar nem gastar créditos: somente media:generate permite. Um agente com esse escopo pode preparar um site completo, e
o proprietário decide quando ele entra no ar. O escopo é a primeira verificação, não a única:
publicar, reverter, tirar do ar, excluir um site e alterar
domínios também exige um admin do workspace.
Um site de convidado não usa nenhum dos dois tipos de credencial: seu token de gravação temporário dá acesso àquele único site. Consulte Sites de convidado.