Chaves de acesso e permissões

Cenário 1 — Você só usa pelo painel

Não precisa fazer nada. Você loga no painel, conecta suas redes (Instagram, Facebook, Threads, YouTube, LinkedIn), publica. A "chave de acesso" e a "permissão" são coisas que rodam por baixo, automaticamente.

Quando você precisaria saber de chave: se um dia você quiser conectar o ChatGPT, ou se for chamar a API do seu próprio sistema. Por enquanto, pode pular pras próximas seções só se for o caso.

Cenário 2 — Conectar o ChatGPT, Claude e outras IAs

A ideia é: você vai criar um GPT (ou skill no Claude) que sabe publicar nas suas redes. Aí você conversa com ele — "publica esse texto no LinkedIn e Threads" — e ele faz.

Como funciona por dentro:

• Você cria um GPT no ChatGPT chamado, por exemplo, "Publicador da Mariana".
• O ChatGPT pede sua chave do Outposted da primeira vez. Você cola.
• A partir daí, sempre que conversar com esse GPT, ele já está conectado à sua conta.

https://api.outposted.one/openapi.yaml

Cenário 3 — n8n, Make, Zapier, código próprio

Mesma chave do Cenário 2, processo um pouco diferente. Você gera uma chave, configura ela na ferramenta, e ela passa a chamar a API diretamente.

Cuidando das suas chaves

• Uma chave por uso. Crie uma chave separada pra cada lugar onde você cola. Assim, se um deles vazar, você revoga só essa.
• Nunca cole no WhatsApp, Notion público ou print. A chave é equivalente à sua senha — quem tem ela publica em seu nome.
• Revogou? Cria nova logo em seguida. No painel → Configurações → Chaves de acesso → Revogar. A chave revogada para de funcionar imediatamente.
• Troca atômica. Você pode pedir uma rotação que cria nova e revoga as antigas no mesmo request. Veja na seção pra integradores.

Limites de uso

Cada workspace tem direito a 600 chamadas por minuto. Isso é mais que o suficiente — a Mariana faz 10 posts por mês, a agência faz 200 por semana. Se você é um SaaS bombando, fale com a gente em suporte@outposted.one que aumentamos.

Quando você bate o limite, recebe um aviso na resposta dizendo "publicou rápido demais — espera um pouquinho". Aí você espera 1 minuto e segue.

Detalhes técnicos

Pra integradores

Formato da API key

Keys começam com opst_live_ seguido de 32 caracteres hex.

opst_live_a3f29e74fa3267cc1fc3248ef3c57a

Header em toda chamada:

Authorization: Bearer opst_live_...

Criar uma key via API

curl -X POST "https://api.outposted.one/api/v1/workspaces/$WS_ID/api-keys" \
  -H "Authorization: Bearer opst_live_..." \
  -H "Content-Type: application/json" \
  -d '{"name": "ci-cd-prod"}'

{
  "id": "...",
  "api_key": "opst_live_a3f29e74fa3267cc1fc3248ef3c57a",
  "name": "ci-cd-prod",
  "prefix": "opst_liv"
}

Rotação atômica

curl -X POST "https://api.outposted.one/api/v1/workspaces/$WS_ID/api-keys" \
  -H "Authorization: Bearer opst_live_..." \
  -H "Content-Type: application/json" \
  -d '{"name": "ci-cd-prod-v2", "revoke_others": true}'

Revogar

curl -X DELETE "https://api.outposted.one/api/v1/workspaces/$WS_ID/api-keys/$KEY_ID" \
  -H "Authorization: Bearer opst_live_..."

Revogação é irreversível. A key passa a retornar 401 imediatamente.

Cliente OAuth confidencial (Custom GPT, MCP)

Pra integrar Outposted num Custom GPT do ChatGPT ou cliente MCP que usa client_secret, você minta um cliente OAuth confidencial. Cada cliente final autentica com a própria API key na página de consentimento.

curl -X POST "https://api.outposted.one/api/v1/workspaces/$WS_ID/oauth-clients" \
  -H "Authorization: Bearer opst_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "client_name": "ChatGPT Outposted Publisher",
    "redirect_uris": [
      "https://chat.openai.com/aip/g-CHANGEME/oauth/callback"
    ]
  }'

{
  "client_id": "mcp_client_abc123...",
  "client_secret": "mcp_csec_def456...",
  "authorization_endpoint": "https://.../api/oauth/mcp/authorize",
  "token_endpoint": "https://.../api/oauth/mcp/token",
  "scopes_supported": ["mcp"]
}

Configurar no ChatGPT GPT Builder

• Authentication: OAuth
• Client ID: mcp_client_*
• Client Secret: mcp_csec_*
• Authorization URL: /api/oauth/mcp/authorize
• Token URL: /api/oauth/mcp/token
• Token Exchange Method: Default (POST request)
• Schema: importe via URL /openapi.yaml

Cliente OAuth público (PKCE — Claude.ai, MCP)

Pra clientes MCP públicos (Claude.ai web, Cursor) o flow é PKCE com code_challenge_method=S256. O cliente pode ser registrado via POST /api/oauth/mcp/register (Dynamic Client Registration, RFC 7591).

Rate limits

X-RateLimit-Limit: 600
X-RateLimit-Remaining: 599
X-RateLimit-Reset: 2026-06-05T03:00:00.000Z

Quando estourar, você recebe 429 Too Many Requests com Retry-After em segundos.