---
title: "Autenticação"
description: "Chaves de API, conexões OAuth, escopos e qual credencial usar."
canonical: "https://atelier201.com/docs/pt/api/authentication"
updated: "2026-11-06"
---

# Autenticação

Há dois tipos de credencial, e a diferença vai além da aparência.

## Chaves de API

Uma **credencial de serviço do workspace**. Quem a possui age em nome do workspace. Somente
um admin pode criar uma, e é ele quem escolhe os escopos.

```bash
curl https://api.atelier201.com/v1/sites \
  -H "Authorization: Bearer atelier201_live_..."
```

O segredo é exibido uma única vez, na criação. Atelier201 armazena um hash e, por isso, não pode
exibi-lo novamente. Se você o perder, revogue-o e crie outro.

## Conexões OAuth

Uma **delegação de uma pessoa a um cliente**: um cliente MCP ou `atelier201 auth login`. Ela
carrega a identidade da pessoa e, por isso, também está sujeita ao limite de acesso dos membros do workspace:
um admin decide quanto do próprio acesso um membro pode delegar a um robô.

Atelier201 implementa OAuth 2.1 com PKCE, registro dinâmico de clientes
([RFC 7591](https://www.rfc-editor.org/rfc/rfc7591)) e o fluxo de dispositivo. Todos os
clientes compatíveis são públicos, portanto não há segredos de cliente: o PKCE os substitui.

> **Warning: O limite não é uma barreira de capacidades**
>
> O limite de acesso do membro restringe o que ele pode delegar a um cliente. Isso não
> restringe o que ele pode fazer na interface web: o produto tem duas funções,
> admin e membro.

## Escopos

Conceda apenas os escopos necessários para o trabalho.

| Escopo           | Permite                                                                                                            |
| ---------------- | ------------------------------------------------------------------------------------------------------------------ |
| `account:read`   | Consultar o workspace, o plano e o saldo de créditos.                                                              |
| `usage:read`     | Consultar o uso de créditos ao longo do tempo.                                                                     |
| `sites:read`     | Consultar sites: arquivos, conteúdo, builds, prévias, histórico e domínios.                                        |
| `sites:write`    | Criar sites, editar arquivos e conteúdo, enviar mídia, gerar builds e compartilhar prévias. Nada se torna público. |
| `sites:publish`  | Publicar, reverter ou tirar um site do ar, e excluir um site. Isso altera o que os visitantes veem.                |
| `domains:write`  | Conectar, verificar e remover domínios personalizados, e escolher o endereço principal de um site.                 |
| `media:generate` | Criar imagens e vídeos com IA, pagos com os créditos do workspace pelo preço exibido antes de cada criação.        |

`sites:write` não permite publicar nem gastar créditos: somente `media:generate` permite. Um agente com esse escopo pode preparar um site completo, e
o proprietário decide quando ele entra no ar. O escopo é a primeira verificação, não a única:
publicar, reverter, tirar do ar, excluir um site e alterar
domínios também exige um admin do workspace.

Um site de convidado não usa nenhum dos dois tipos de credencial: seu token de gravação temporário dá acesso
àquele único site. Consulte [Sites de convidado](/docs/platform/guest-sites).