Autenticação

Obter o par de tokens

Você recebe um usuário e uma senha. Troque-os por um par de tokens:

POST/api/token/

curl -X POST "https://api.yumepayhml.com.br/api/token/" \
  -H 'Content-Type: application/json' \
  -d '{"username":"SEU_EMAIL","password":"SUA_SENHA"}'

O campo username recebe o e-mail

Apesar do nome, o valor esperado é o e-mail completo do usuário. Enviar o nome curto de login retorna 401.

Resposta 200

{
  "access": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "refresh": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
}

Token	Validade	Para que serve
access	1 dia	É o token enviado em cada requisição
refresh	7 dias	Gera novos access sem refazer o login

Qualquer falha de autenticação devolve 401, inclusive corpo vazio ou campo ausente — não 400.

Limite de tentativas

Erros de login repetidos para a mesma conta devolvem 429 por cerca de um minuto. O limite é por conta, não por IP. Aguarde a janela e tente de novo com a credencial correta.

Renovar o token de acesso

POST/api/token/refresh/

curl -X POST "https://api.yumepayhml.com.br/api/token/refresh/" \
  -H 'Content-Type: application/json' \
  -d '{"refresh":"SEU_REFRESH"}'

O refresh não é rotacionado. A resposta traz um novo access, e o mesmo refresh continua válido para as próximas renovações.

Usando o token

Em todas as rotas seguintes, envie o token de acesso no cabeçalho:

Authorization: Bearer SEU_ACCESS_TOKEN

O token identifica automaticamente o lojista associado. Nas rotas de venda, link e assinatura, o online_token do lojista também é aceito no mesmo cabeçalho.

Conferindo a credencial

GET/api/v1/me/

{
  "username": "hml.paylink",
  "merchant": { "id": 2, "company_name": "Loja Homolog Pag" },
  "is_staff": false,
  "is_superuser": false
}

O username aqui é o nome curto de login, não o e-mail. No POST /api/token/ o campo de mesmo nome espera o e-mail completo — são coisas diferentes.

dica

Guarde o refresh com segurança e programe a renovação do access antes das 24 horas.