# Autenticação, permissões e segurança de credenciais

URL canônica: https://sosoapi.ai/pt-br/docs/authentication

Faça login com OAuth para um agente, use um personal access token no servidor e escolha as permissões necessárias para cada chamador.

## Escolha uma credencial para o chamador

Para agentes, use OAuth no navegador: o usuário faz login e escolhe o acesso, e a CLI armazena e renova as credenciais. Para scripts de backend ou jobs de CI, forneça um personal access token por VICKY_API_KEY. Mantenha credenciais fora de código de navegador, repositórios públicos, prompts, capturas de tela e logs compartilhados.

Os exemplos HTTP usam SOSOAPI_ACCESS_TOKEN como variável de ambiente no servidor para o valor Bearer. É uma variável de exemplo, não uma configuração da CLI. Confira as credenciais listadas em cada operação; personal access tokens não podem gerenciar API keys.

```
npx sosoapi auth login
```

```
npx sosoapi auth status
```

```
npx sosoapi auth logout
```

- [Referência completa da API](https://sosoapi.ai/pt-br/docs/api)

## Escopo e capacidades

Cada requisição verifica a participação no workspace e a função exigida para a operação. OAuth delegado também limita o acesso aos workspaces e capacidades selecionados pelo usuário. agent:operate abrange leitura e preparação, agent:publish abrange agendamento e publicação e agent:engage abrange gravações na comunidade. Gerenciar API keys exige uma concessão separada.

Um personal access token é limitado pela função do proprietário e por quaisquer restrições armazenadas de capacidades ou workspace. Escolha apenas o acesso necessário para sua integração; omitir limites opcionais pode deixar uma chave com acesso amplo. Os perfis core e full alteram a lista visível de ferramentas, não as permissões. O acesso de publicação continua no escopo concedido, sem nova aprovação no navegador para cada post.

## Armazenamento e revogação de credenciais

A CLI armazena credenciais no chaveiro do sistema operacional quando disponível ou em um arquivo local legível apenas pelo proprietário. Tokens de acesso OAuth duram uma hora e são renovados pelo fluxo de login. Use auth status para diagnosticar a conexão em vez de copiar o arquivo de credenciais.

Revogue um dispositivo ou autorização em Configurações → Agentes e acesso à API ou execute auth logout para sair do dispositivo local atual. Isso interrompe o acesso futuro. Não desfaz posts publicados nem cancela agendamentos já aceitos pelo SosoAPI; confira-os e gerencie-os separadamente.

## Endpoints de inicialização da autenticação

Os quatro endpoints de autenticação do agente documentam o protocolo de login. Use a CLI compatível ou um cliente OAuth remoto para fazer login; esses endpoints não estão disponíveis por api post. Config, request, session e revoke-current aceitam credenciais e campos diferentes. Siga o schema de cada endpoint e mantenha credenciais de sessão fora da saída e dos logs.

- [Referência de endpoints de autenticação](https://sosoapi.ai/pt-br/docs/api)