# Bearer token > Bearer token é um tipo de credencial de acesso usada em APIs, enviada no cabeçalho Authorization de cada requisição no formato Bearer seguido do código. Quem apresenta o token, o portador, recebe acesso aos recursos permitidos, sem precisar enviar usuário e senha. Em APIs fiscais, autoriza sistemas a emitir e consultar documentos fiscais. **Também conhecido como:** Token de portador, Token Bearer, Bearer authentication, Autenticação Bearer, Token de acesso, Bearer token **Glossário:** [Glossário de A a Z](https://conota.dev/glossario/) · **Letra:** B ## O que significa bearer e por que o token tem esse nome? Bearer é uma palavra em inglês que significa portador. O nome resume a lógica desse tipo de credencial: quem estiver com o token em mãos e apresentá-lo à API é tratado como autorizado, sem precisar provar sua identidade de outra forma. Uma comparação útil é o ingresso de um show. O porteiro não confere quem comprou, apenas verifica se o ingresso é válido. Com o Bearer token acontece o mesmo: o servidor checa se o código é legítimo, se ainda está dentro da validade e quais permissões ele carrega. ## Como funciona o Bearer token em uma requisição? O sistema que consome a API inclui o token em um cabeçalho HTTP chamado Authorization, escrito no padrão Authorization: Bearer seguido do código do token. Esse cabeçalho vai junto em todas as chamadas, como emitir uma nota, consultar um status ou baixar um XML. Ao receber a requisição, o servidor lê o token, confirma se ele é válido e verifica se aquela ação é permitida. Se estiver tudo certo, a operação é executada. Se o token estiver ausente, expirado ou incorreto, a API costuma responder com o código HTTP 401, que indica falta de autenticação, ou 403, quando o token é válido mas não tem permissão para aquela ação. O token pode ser fornecido diretamente em um painel de gestão ou obtido em uma etapa anterior de login, como ocorre em fluxos do padrão OAuth 2.0, que popularizou esse formato. Alguns tokens têm prazo de validade curto e precisam ser renovados periodicamente. ## Qual a diferença entre Bearer token e API Key? API Key é uma chave fixa que identifica o sistema ou a conta que está chamando a API. Bearer token descreve a forma de envio da credencial: um código apresentado pelo portador no cabeçalho Authorization. Os dois conceitos se sobrepõem, e muitas APIs pedem que a própria API Key seja enviada no formato Bearer. Na prática, a diferença costuma estar no ciclo de vida. API Keys geralmente são duradouras e só mudam quando alguém as revoga. Tokens obtidos por fluxos de autenticação tendem a expirar em pouco tempo e podem carregar permissões mais específicas, o que reduz o estrago caso vazem. ## Quais cuidados de segurança o Bearer token exige? Como basta possuir o token para usá-lo, um token vazado funciona como uma chave copiada. Por isso, ele nunca deve aparecer em código-fonte público, em logs, em URLs ou no código que roda no navegador ou no aplicativo do usuário final. O ideal é guardá-lo em variáveis de ambiente ou em cofres de segredos do servidor. Todas as chamadas devem usar HTTPS, para que o token não trafegue aberto na rede. Também é boa prática usar tokens diferentes para homologação e produção, conceder apenas as permissões necessárias e revogar imediatamente qualquer token que possa ter sido exposto. ## Como o Bearer token é usado na emissão fiscal por API? Em uma API fiscal, o Bearer token identifica qual conta ou empresa está fazendo a solicitação. Com ele, o ERP, a plataforma de vendas ou o marketplace consegue enviar dados para emitir NF-e, NFS-e, NFC-e, CT-e ou MDF-e, acompanhar o status, consultar rejeições e baixar XML e PDF dos documentos. É importante não confundir o token com o certificado digital. O token autoriza o sistema a conversar com a API de emissão. Já o certificado digital, como o A1, é usado para assinar o XML do documento fiscal perante a Sefaz ou a prefeitura. São camadas diferentes de segurança. O mesmo raciocínio vale para agentes de inteligência artificial que acessam serviços fiscais por MCP: a credencial define o que o agente pode consultar ou executar, e cada ação pode ser registrada para auditoria. ## Exemplos de Bearer token - Um ERP envia uma requisição POST para emitir uma NF-e e inclui o cabeçalho Authorization: Bearer seguido do token da conta, para que a API saiba quem está emitindo. - A equipe de desenvolvimento usa um Bearer token exclusivo do ambiente de homologação para testar a emissão de NFS-e, sem risco de gerar notas com validade jurídica. - Após perceber que um token foi publicado por engano em um repositório de código, a empresa o revoga no painel de gestão e gera um novo para seus servidores. - Um marketplace recebe resposta 401 ao consultar o status de uma NFC-e e descobre que o token configurado havia expirado e precisava ser renovado. ## Perguntas frequentes ### Bearer token é a mesma coisa que senha? Não. A senha é usada por pessoas para entrar em um sistema. O Bearer token é uma credencial usada por sistemas para acessar uma API, pode ter permissões limitadas, prazo de validade e ser revogado sem alterar a senha de ninguém. ### O Bearer token pode ser usado no front-end? Não é recomendado. Qualquer código que roda no navegador ou no aplicativo pode ser inspecionado, expondo o token. Em integrações fiscais, as chamadas devem partir do servidor, onde a credencial fica protegida. ### O que fazer se o Bearer token vazar? Revogue o token imediatamente, gere um novo, atualize os sistemas que o utilizam e verifique os registros de uso para identificar chamadas suspeitas feitas no período em que ele esteve exposto. ## Termos relacionados - [API Key](https://conota.dev/glossario/api-key.md) - [API fiscal](https://conota.dev/glossario/api-fiscal.md) - [API REST para emissão fiscal](https://conota.dev/glossario/api-rest-para-emissao-fiscal.md) - [Ambiente de homologação](https://conota.dev/glossario/ambiente-de-homologacao.md) - [Backend de integração fiscal](https://conota.dev/glossario/backend-de-integracao-fiscal.md) - [Conota MCP](https://conota.dev/glossario/conota-mcp.md) --- Fonte: [Bearer token](https://conota.dev/glossario/bearer-token/) · Atualizado em 2026-10-22