Autenticação

Todas as rotas /v1/instances/{instanceId}/... exigem o token da instância no cabeçalho Authorization:

Authorization: Bearer TOKEN

O {instanceId} da URL deve ser o da instância dona do token. Com o token de uma instância, você não acessa outra.

Token de segurança da conta (opcional)

Se a sua conta tiver um token de segurança, envie-o também, no cabeçalho x-account-token:

Authorization: Bearer TOKEN
x-account-token: TOKEN_DE_SEGURANCA

Você liga e desliga esse token no painel, em Segurança.

Lista de IPs autorizados (opcional)

Se a conta tiver uma lista de IPs autorizados, as chamadas precisam partir de um deles. De outro endereço, a API responde 403 com ip_not_allowed. A lista também fica em Segurança, no painel.

Trocar o token

Se o token vazar, gere outro. O anterior deixa de valer na hora. Você pode fazer isso no painel ou pela API:

curl -X POST https://api.zap.nigora.com.br/v1/instances/INSTANCIA_ID/token/regenerate \
  -H "Authorization: Bearer TOKEN"

A resposta é { "token": "..." }. O novo valor aparece somente nessa resposta. Guarde-o em local seguro e atualize seus sistemas.

Cuidado

Nunca coloque o token em código que roda no navegador ou no aplicativo do cliente final. Faça as chamadas pelo seu servidor.

Erros de autenticação

Status	Código	Quando acontece
401	invalid_token	Token da instância ausente, inválido, ou de outra instância
401	invalid_account_token	A conta tem token de segurança e o x-account-token está ausente ou errado
403	ip_not_allowed	O IP da chamada não está na lista da conta
403	account_blocked	A conta foi bloqueada; fale com o suporte
429	rate_limited	Muitas falhas de autenticação seguidas partindo do mesmo IP (veja Limites e erros)

Além disso, as rotas que usam a conexão com o WhatsApp (conectar, enviar mensagens, verificar contatos) respondem 402 com instance_suspended quando a instância está suspensa ou com pagamento pendente.