# Token de autenticação > Token de autenticação é uma credencial digital, geralmente uma sequência longa de caracteres, que um sistema envia a cada requisição para provar quem é e o que pode fazer em uma API. Em integrações fiscais, ele permite que um ERP ou plataforma emita e consulte notas fiscais sem precisar enviar usuário e senha. **Também conhecido como:** Token de acesso, Access token, Token de API, Credencial de acesso, Authentication token **Glossário:** [Glossário de A a Z](https://conota.dev/glossario/) · **Letra:** T ## O que é um token de autenticação? Um token de autenticação funciona como um crachá digital. Em vez de digitar login e senha toda vez, o sistema apresenta esse código à API, que o reconhece e libera o acesso aos recursos permitidos. O token costuma ser uma sequência aparentemente aleatória de letras e números. Ele pode ser opaco, sem significado para quem o lê, ou estruturado, como um JWT, que carrega informações como identidade, permissões e data de expiração. ## Para que serve o token de autenticação em uma API fiscal? Em uma API fiscal, o token garante que apenas sistemas autorizados possam emitir, cancelar ou consultar documentos como NF-e, NFS-e, NFC-e, CT-e e MDF-e. Sem ele, qualquer pessoa que conhecesse o endereço da API poderia tentar gerar notas em nome de uma empresa. Além de identificar quem faz a chamada, o token também pode limitar o que essa chamada pode fazer. Um token pode, por exemplo, permitir apenas consultas de status e download de XML, sem autorização para emitir ou cancelar notas. ## Como funciona o envio do token em uma requisição? Na maioria das APIs REST, o token é enviado em um cabeçalho HTTP, chamado header de autenticação. Um formato comum é o Bearer token, em que o cabeçalho Authorization traz a palavra Bearer seguida do código. A API recebe a requisição, valida o token e verifica se ele está ativo, se não expirou e se tem permissão para a ação pedida. Se estiver tudo certo, a operação é processada; caso contrário, a resposta costuma ser um erro de não autorizado ou acesso proibido. ## Qual a diferença entre token de autenticação e API Key? Os termos se sobrepõem e às vezes são usados como sinônimos. A API Key costuma ser uma chave fixa, de longa duração, criada no painel do serviço e associada a uma conta ou aplicação. Já o token de autenticação é um conceito mais amplo: pode ser uma API Key, mas também pode ser um token temporário gerado por um fluxo como OAuth 2.0, que expira em minutos ou horas e precisa ser renovado. Tokens temporários reduzem o estrago caso a credencial vaze. ## Como guardar um token de autenticação com segurança? O token deve ser tratado como uma senha. Ele não deve ficar escrito no código-fonte, em repositórios, em planilhas ou em mensagens. O ideal é armazená-lo em variáveis de ambiente ou em ferramentas de gerenciamento de segredos, como um key vault. Também é recomendável trafegar o token apenas por HTTPS, conceder somente as permissões necessárias, trocar a credencial periodicamente e revogá-la imediatamente se houver suspeita de vazamento. ## Como o token é usado por agentes de inteligência artificial via MCP? Quando um agente de IA acessa uma API fiscal por MCP, ele também precisa se autenticar. O token define quais documentos o agente pode consultar e quais ações pode executar, como verificar uma rejeição ou baixar um XML. Com permissões bem delimitadas e registro de cada ação para auditoria, a empresa consegue usar a automação sem dar ao agente acesso irrestrito à emissão fiscal. ## Exemplos de Token de autenticação - Um ERP envia uma requisição para emitir uma NF-e incluindo no cabeçalho Authorization: Bearer seguido do token gerado no painel do emissor fiscal. - Uma plataforma de marketplace usa um token no ambiente de homologação para testes e outro, diferente, no ambiente de produção para emitir notas com validade jurídica. - Uma software house cria um token somente leitura para que sua equipe de suporte consulte status e baixe XML de notas, sem poder emitir ou cancelar documentos. - Após um desenvolvedor publicar por engano um token em um repositório público, a empresa revoga a credencial no console e gera uma nova para o sistema de vendas. ## Perguntas frequentes ### Token de autenticação é o mesmo que certificado digital? Não. O token autentica o sistema perante a API do emissor. O certificado digital, como o A1, identifica a empresa e assina o XML do documento fiscal exigido pela SEFAZ ou pela prefeitura. São credenciais com funções diferentes. ### O que acontece se o token expirar? As requisições passam a ser recusadas com erro de não autorizado. O sistema precisa obter um novo token, seja renovando pelo fluxo previsto, como no OAuth 2.0, seja gerando outra credencial no painel do serviço. ### Posso usar o mesmo token em homologação e produção? Normalmente não é recomendado, e muitos serviços nem permitem. Separar tokens por ambiente evita emitir notas reais por engano durante testes e facilita controlar e revogar acessos. ### Posso enviar o token na URL da requisição? Deve-se evitar. URLs costumam ficar registradas em logs, históricos e ferramentas de monitoramento, o que aumenta o risco de vazamento. O mais seguro é enviar o token no cabeçalho HTTP, sempre via HTTPS. ## Termos relacionados - [Bearer token](https://conota.dev/glossario/bearer-token.md) - [API Key](https://conota.dev/glossario/api-key.md) - [Header de autenticação](https://conota.dev/glossario/header-de-autenticacao.md) - [JWT](https://conota.dev/glossario/jwt.md) - [OAuth 2.0](https://conota.dev/glossario/oauth-2-0.md) - [Gerenciamento de segredos](https://conota.dev/glossario/gerenciamento-de-segredos.md) --- Fonte: [Token de autenticação](https://conota.dev/glossario/token-de-autenticacao/) · Atualizado em 2026-10-22