Portal do desenvolvedor

Contrato público da API em /openapi.json · Guia para agentes em /llms.txt · Versão em inglês em Developers · Versão em markdown em desenvolvedores.md

O que dá para chamar sem credencial

Quatro endpoints são abertos a qualquer cliente, e são exatamente os descritos no contrato OpenAPI 3.1 publicado em /openapi.json. URL base https://www.sistemacapitalis.com.br/api, na mesma origem deste site.

• GET /api/health e GET /api/health/ready — a plataforma está de pé e pronta para atender.
• GET /api/version — versão em execução e ambiente (producao ou sandbox).
• GET /api/status — estado serviço a serviço com latência e a janela de manutenção declarada. É o que a página de status lê.
• POST /api/site/contato — o formulário de contato deste site, com GET /api/site/contato/assuntos listando os assuntos aceitos.

Começando

Leia o contrato e chame a rota de saúde. Nada aqui pede chave.

curl -s https://www.sistemacapitalis.com.br/openapi.json | head -20
curl -s https://www.sistemacapitalis.com.br/api/health
curl -s https://www.sistemacapitalis.com.br/api/status

Toda página pública deste site também responde em markdown, para o agente que prefere não interpretar HTML:

curl -sH 'Accept: text/markdown' https://www.sistemacapitalis.com.br/
curl -s https://www.sistemacapitalis.com.br/sobre.md

O resto exige contrato

A API do produto — operações, cadastros, captação, financeiro, trustee, confirmação, cobrança, relatórios — e o servidor MCP são liberados a cliente com assinatura ativa, junto das credenciais, pelo canal comercial@sistemacapitalis.com.br. Não existe cadastro self-service de chave, e o schema completo não é publicado: a superfície inteira de uma API financeira é material de reconhecimento, e mantê-la fechada é decisão de segurança registrada, não esquecimento. Chamar /api/* sem credencial devolve 401; não insista com caminhos adivinhados.

Como a autenticação funciona depois do contrato

• Token de sessão para o aplicativo web e token pessoal de acesso (PAT) para integração.
• O PAT pode ser amarrado à chave com DPoP (RFC 9449, token com prova de posse, exigência do FAPI 2.0): ligado num token, não há modo permissivo.
• Toda rota que move dinheiro aceita ou exige Idempotency-Key — retry de rede nunca vira segunda ordem de pagamento.
• O dado de cada cliente fica isolado dentro do próprio banco (RLS forçada), e toda ação sensível cai numa trilha que não se apaga, correlacionada por X-Request-ID.

Sandbox

O ambiente de homologação existe e é onde toda mudança é validada antes da produção. Ele não é aberto ao público enquanto o produto está em pré-BETA: o acesso sai com o contrato, para que dado de demonstração de terceiro não se misture ao de cliente. Peça pelo canal comercial e provisionamos as credenciais.

Limites, erros e suporte

As rotas públicas têm limite por IP e respondem 429 com cabeçalho Retry-After quando você passa. Erro é JSON com código estável em detail — trate o código, nunca a mensagem, como contrato. Falha de segurança vai para seguranca@sistemacapitalis.com.br; dúvida de integração, para suporte@sistemacapitalis.com.br.