Fluxo para aplicativos centralizados

Use este fluxo quando o aplicativo:

Opera em ambientes internos/privados
Não é acessível diretamente pela internet
Consegue armazenar com segurança a chave secreta no servidor

Exemplo: servidores em VPC privada que consomem APIs do iFood para expor serviços próprios.

Os tokens não podem exceder 8.000 caracteres. Garanta armazenamento adequado para esses tokens.

Obtenha credenciais e tokens

Encontre suas credenciais

Abra o Portal do Desenvolvedor
Vá para Meus Apps > Credenciais do aplicativoVocê verá:
_clientId_: identificador único do aplicativo
_clientSecret_: chave para obter tokens de acesso. Armazene com segurança e nunca exponha.

Solicite o token de acessoUse clientId e clientSecret do aplicativo para solicitar um token de acesso pela API de Autenticação.
Use o token recebidoA API retorna o token de acesso necessário para consumir as APIs do iFood.
Aplicativos centralizados não recebem refresh tokens. Consulte a FAQ para detalhes.
Acesse os recursosInclua o token nas requisições às APIs do iFood usando autenticação HTTP do tipo Bearer.

Referência da API

POST `/oauth/token`

DescriçãoSolicita um novo token de acesso para acessar recursos da API. Por padrão, o token expira em 6 horas. Para aplicativos centralizados, use o grant type client_credentials.cURL de exemplo

curl -X POST "https://merchant-api.ifood.com.br/authentication/v1.0/oauth/token" \
   -H "Content-Type: application/x-www-form-urlencoded" \
   -d "grantType=client_credentials&clientId=YOUR_CLIENT_ID&clientSecret=YOUR_CLIENT_SECRET"

Parâmetros de requisição

Parâmetro	Obrigatório	Descrição
`grantType`	Sim	Tipo de grant OAuth. Para aplicativos centralizados: `client_credentials`
`clientId`	Sim	Identificador do cliente
`clientSecret`	Sim	Segredo do cliente

Campos retornados — Sucesso (200)

Campo	Descrição	Exemplo
`accessToken`	JWT representando o token de acesso	eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzUxMiJ9.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.lYqdxjHoOksq8COqJ-VZxzd524MhVzH7hkMfp5zGTpqzp26z5XJwOPHAy7L6oyagUgRfxntKeu0Up_JHgJ-Vr0h5Y9wY4XHcK1yxpFXFB5f5ilGDB0hVN3UGa4GBqeVpCbAPQUl4VhbF2byeL9PuO4TfTZmoWyuec9-xEH_nbHg
`type`	Tipo do token. Atualmente, o único tipo suportado é `bearer`	`bearer`
`expiresIn`	Tempo de expiração do token em segundos	`21600`

Campos retornados — Erro Unauthorized (401)

Campo	Descrição	Exemplo
`error.code`	Código de erro para requisições não autorizadas	`Unauthorized`
`error.message`	Descrição de erro legível	`Bad credentials`

Campos retornados — Erro Internal Server (500)

Campo	Descrição	Exemplo
`error.code`	Código de erro para erros internos	`InternalServerError`
`error.message`	Descrição de erro legível	`Unexpected error`

Implementação prática

O vídeo abaixo demonstra a implementação do fluxo de credencial de aplicativo para aplicativos centralizados:

Esta página foi útil?

Avalie sua experiência no novo Developer portal:

Nesta página

Fluxo para aplicativos centralizados

Obtenha credenciais e tokens

Referência da API

POST /oauth/token

Implementação prática

Conteúdo lido0%