Autenticação

Toda requisição a /v1 e a /mcp leva a chave no cabeçalho:

Authorization: Bearer atl_live_7Kq2mZ9xR4aB_…

Só no cabeçalho. Uma chave na URL (?api_key=, ?token=, ?access_token=) é recusada com 400 credentials_in_url; se isso aconteceu, gire a chave.
Formato. atl_ + ambiente (live) + identificador público + segredo + dígito verificador. O Atendlly guarda só um resumo criptográfico (HMAC) do segredo: a chave completa é mostrada uma vez, ao criar ou girar.
Tipos. Chave de serviço: age como a integração ("Integração «ERP Omie»"). Chave pessoal: age como o administrador que a criou e nunca pode mais do que o papel atual dessa pessoa.
Validade. 30, 90, 180 ou 365 dias (padrão: 90 para pessoais, 365 para serviço). "Sem expiração" só para chaves de serviço. Os administradores recebem e-mail 7 dias e 1 dia antes.
Girar. Gera um novo segredo para a mesma chave; o anterior continua valendo pelo prazo escolhido (agora, 1 hora, 24 horas ou 7 dias).
Revogar. Imediato: a próxima requisição recebe 401 api_key_revoked.
Restrição por IP. Opcional, até 20 endereços ou faixas CIDR (IPv4 e IPv6). Fora da lista: 403 ip_not_allowed.

Respostas de autenticação

Situação	Status	`code`
Sem cabeçalho, chave malformada, desconhecida ou errada	401	`invalid_api_key`
Chave expirada / revogada	401	`api_key_expired` / `api_key_revoked`
IP fora da lista	403	`ip_not_allowed`
Plano sem a API (Básico)	403	`plan_required`
Conta suspensa	403	`account_suspended`
Dono de uma chave pessoal sem acesso à conta	403	`forbidden`

Depois de 20 chaves inválidas em um minuto, o endereço IP fica bloqueado por 10 minutos.

Domínios próprios

/v1 e /mcp também respondem no domínio próprio (white-label) da sua conta, só para as chaves dessa conta. A documentação fica no endereço da plataforma (https://atende.suporteja.com.br/developers).