Pular para o conteúdo principal
Toda requisição à API do Z2Pay é autenticada por uma API key, enviada no header x-api-key. 
curl https://api.sandbox.z2pay.com/transactions \
  -H "x-api-key: z2_psp_sk_suachavesecreta"
A secret key (sk) dá acesso total à sua conta. Nunca a exponha no frontend, em apps mobile, em repositórios públicos ou em logs. Use-a apenas no seu servidor.

​
Formato da chave

As chaves seguem o padrão z2_{escopo}_{tipo}_{aleatório} (256 bits de entropia): 
z2_psp_sk_Kx8y9pQ1n3...      secret key do produto PSP
z2_chk_pk_AbC9dEf2...        publishable key do produto Checkout
ParteValoresSignificado
Escopopsp, chk, stl, afProduto (PSP, Checkout, Settle, Antifraude).
Tiposk (secret), pk (publishable)Nível de acesso.

​
Secret (sk) × Publishable (pk)

Secret key (sk)

Acesso completo (criar, ler, atualizar, estornar). Somente no backend.

Publishable key (pk)

Acesso restrito a operações públicas (ex.: tokenização no frontend). Pode ser exposta no navegador.

​
Como obter sua chave

  1. Acesse o Dashboard do Z2Pay.
  2. Para chaves de teste, entre no ambiente de sandbox e gere as credenciais lá.
  3. Para chaves de produção, gere no ambiente de produção.
  4. Copie a chave no momento da criação — por segurança, ela é exibida apenas uma vez (depois fica mascarada, ex.: z2_psp_sk_KxY8…3pQ1).
Chaves de sandbox e de produção têm o mesmo formato, mas são geradas em ambientes diferentes e não são intercambiáveis. Uma chave de sandbox só funciona em *.sandbox.z2pay.com.

​
Respostas de autenticação

SituaçãoStatusResposta
Header x-api-key ausente ou inválido401{ "error": { "code": "UNAUTHORIZED", ... } }
Chave válida, mas sem permissão para a operação403{ "error": { "code": "FORBIDDEN", ... } }
Veja o formato completo em Erros.

​
Boas práticas

Use variáveis de ambiente

Carregue a chave de uma variável de ambiente/secret manager, nunca hardcoded no código.

Rotacione se vazar

Suspeitou de vazamento? Gere uma nova chave e revogue a antiga no Dashboard.

Uma chave por ambiente

Separe claramente as chaves de sandbox e de produção na sua aplicação.

Restrinja no frontend

No navegador/app use apenas a pk. A sk jamais sai do servidor.