curl --request POST \
  --url https://integracao.sandbox.cardapioweb.com/api/partner/oauth/token \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data client_id=SEU_CLIENT_ID \
  --data code=CODIGO_RECEBIDO \
  --data redirect_uri=https://seuapp.com/oauth/callback \
  --data code_verifier=SEU_CODE_VERIFIER

{
  "access_token": "...",
  "token_type": "Bearer",
  "expires_in": 7200,
  "refresh_token": "...",
  "scope": "store orders"
}

{
  "error": "invalid_request",
  "error_description": "<string>"
}

{
  "error": "invalid_request",
  "error_description": "<string>"
}

OAuth

Obter token

Emite tokens de acesso após a autorização ou renova um token expirado. Envie o corpo como application/x-www-form-urlencoded.

Troca inicial (grant_type=authorization_code): chamado no callback da Redirect URI, após o consentimento no portal. Envie o code, a mesma redirect_uri, o client_id e o code_verifier usado no PKCE. Passo a passo em Troca de token.

Renovação (grant_type=refresh_token): envie refresh_token e client_id quando o access_token expirar (2 horas). Veja Renovar token.

A resposta traz access_token, refresh_token e scope (escopos concedidos na instalação). Use o access_token como Authorization: Bearer na API aberta; o estabelecimento é identificado pela instalação vinculada ao token. Exemplos em Usar o Bearer na API aberta.

Os escopos do token limitam quais módulos da API aberta podem ser consumidos. Consulte Escopos e permissões e Fluxos de integração. Para comparar OAuth com API Key legada, veja Modelos de autenticação.

POST

api

partner

oauth

token

curl --request POST \
  --url https://integracao.sandbox.cardapioweb.com/api/partner/oauth/token \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data client_id=SEU_CLIENT_ID \
  --data code=CODIGO_RECEBIDO \
  --data redirect_uri=https://seuapp.com/oauth/callback \
  --data code_verifier=SEU_CODE_VERIFIER

{
  "access_token": "...",
  "token_type": "Bearer",
  "expires_in": 7200,
  "refresh_token": "...",
  "scope": "store orders"
}

{
  "error": "invalid_request",
  "error_description": "<string>"
}

{
  "error": "invalid_request",
  "error_description": "<string>"
}

Corpo

application/x-www-form-urlencoded

grant_type

enum<string>

obrigatório

Use authorization_code na troca inicial ou refresh_token na renovação.

Opções disponíveis:

authorization_code,

refresh_token

client_id

string

obrigatório

code

string

Obrigatório quando grant_type=authorization_code.

redirect_uri

string<uri>

Obrigatório quando grant_type=authorization_code. Deve ser igual à Redirect URI (redirect_url) informada no cadastro e ao redirect_uri usado no redirect para o portal.

code_verifier

string

Obrigatório quando grant_type=authorization_code.

refresh_token

string

Obrigatório quando grant_type=refresh_token.

Resposta

Token emitido com sucesso.

access_token

string

token_type

string

Exemplo:

"Bearer"

expires_in

integer

Exemplo:

7200

refresh_token

string

scope

string

Exemplo:

"store orders"

Última modificação em 10 de julho de 2026

⌘I

API Autenticação

API Loja

API Catálogo

API Pedidos

Obter token

Corpo

Resposta