Autenticação

MuPag separa claramente credenciais públicas e credenciais de servidor.

sk_* para operações autenticadas

Use Authorization: Bearer sk_test_... em QA. Chaves sk_prd_... e o ambiente prd ainda não estão disponíveis; não os simule nem os configure. Chaves secretas pertencem ao backend, jobs e workers.

Tokenização de cartão fora do checkout hospedado

No fluxo B2B direto, o lojista obtém o token do cartão no Asaas, fora da MuPag, e envia somente esse token ao backend autenticado da MuPag. A credencial usada na tokenização nunca substitui a sk_*.

No checkout hospedado, a sessão pode oferecer cartão à vista pela fatura oficial do Asaas quando o lojista tem integração real disponível. O comprador abre o hosted_payment_url retornado pela sessão; os dados do cartão ficam na página do Asaas. Crie sessões com uma chave de servidor ou com a chave publishable limitada ao escopo checkout_sessions.create, conforme o guia de checkout. Nunca exponha a chave secreta no navegador.

Regras operacionais

• Nunca envie sk_* do navegador.
• Nunca grave chave em URL, query string ou screenshot.
• Em POST, envie também Idempotency-Key.
• Se houver rotação de segredo, aceite uma pequena janela de sobreposição no backend e zere caches antigos.