Criar e configurar o app
Passo a passo para registrar seu app no Portal do Dev, solicitar scopes com justificativa, passar pela revisão e obter suas credenciais.
Depois de entrar no programa de parceiros, o próximo passo é registrar seu app no Portal do Dev, dentro do painel em https://app.orbitsender.com. É lá que você define as URLs de redirecionamento, escolhe o tipo do app, solicita os scopes e recebe as credenciais (client_id e client_secret).
Pré-requisito
O Portal do Dev só fica disponível para contas com o papel de parceiro. Se você ainda não é parceiro, veja Como virar parceiro.
Criar o app
Crie o app e preencha os dados
No Portal do Dev, clique em Criar app e preencha:
- Nome do app — como ele aparece na tela de consentimento para o usuário.
- Logo — faça o upload da imagem que representa o app (também exibida no consentimento).
- URL de homepage, URL da política de privacidade e URL dos termos de uso.
- Redirect URIs — uma ou mais URLs para onde o OrbitSender devolve o usuário após o consentimento. O casamento é exato (exact-match): a
redirect_uriusada no/authorizeprecisa ser idêntica (protocolo, host, porta e caminho) a uma das cadastradas aqui.
Exact-match nas redirect URIs
Nenhuma correspondência parcial ou por curinga é aceita. https://app.seudominio.com/callback e https://app.seudominio.com/callback/ são consideradas diferentes. Cadastre exatamente as URLs que você vai usar.
Escolha o tipo do app
O tipo define se o app tem ou não um client_secret:
| Tipo | Tem client_secret? | PKCE | Quando usar |
|---|---|---|---|
| confidential | Sim (cs_live_...) | Recomendado | Você tem um backend seguro que guarda o segredo. |
| public | Não | Obrigatório (S256) | SPA (front-end puro) ou app mobile, sem servidor onde esconder um segredo. |
Escolha confidential se existe um servidor onde o client_secret nunca fica exposto ao cliente. Escolha public para SPAs e apps mobile — nesse caso o PKCE com método S256 é obrigatório para proteger a troca do código.
Solicite os scopes com justificativa
Marque cada permissão (scope) que o app precisa e escreva uma justificativa clara para cada uma — por que o app precisa daquele acesso. A revisão é feita por scope, e uma justificativa objetiva acelera a aprovação.
Consulte a Referência de permissões (scopes) para ver o catálogo completo, quais são elegíveis para parceiro e quais exigem vetting reforçado.
Escolha o mínimo necessário
Peça apenas os scopes que o app realmente usa. Scopes classificados como high passam por uma verificação reforçada e exigem consentimento explícito do usuário. Os scopes integrations:* nunca são concedidos a parceiros.
Envie para revisão
Envie o app para revisão. Um superadmin do OrbitSender analisa a solicitação por scope:
- Scopes elegíveis são aprovados individualmente.
- Scopes high passam por vetting reforçado.
integrations:readeintegrations:writesão sempre bloqueados para parceiros.
Se um scope for rejeitado, ajuste a justificativa daquele scope e reenvie. Alterar ou adicionar um scope reabre a revisão apenas daquele scope.
O app precisa estar approved
O endpoint /api/oauth/authorize só funciona quando o app está com status approved. Antes disso, o fluxo de consentimento não é iniciado.
Limites do portal
| Limite | Valor |
|---|---|
| Apps por parceiro | máximo de 5 |
| Envios para revisão por dia | máximo de 2 |
Credenciais do app
Quando o app é aprovado, ele recebe suas credenciais:
client_id— identificador público do app (ex.:cli_abc123). Pode ser usado no front-end.client_secret— apenas para apps confidential. Vem no formatocs_live_...e é exibido uma única vez no portal, no momento em que é gerado.
Guarde o client_secret com cuidado
O client_secret é exibido uma só vez e o OrbitSender guarda apenas o hash SHA-256 dele. Copie e armazene-o somente no seu servidor (nunca no front-end, em repositórios ou em apps públicos). Se você perder o segredo ou suspeitar de vazamento, rotacione o segredo no portal — a rotação gera um novo cs_live_... e invalida o anterior. Apps public não têm segredo: eles se protegem com PKCE.
Um exemplo de como as credenciais aparecem no seu backend:
# Guarde somente no servidor — nunca exponha ao cliente
export ORBIT_CLIENT_ID="cli_abc123"
export ORBIT_CLIENT_SECRET="cs_live_..." # apenas apps confidential; exibido uma vezPróximo passo
Com o app aprovado e as credenciais em mãos, você já pode iniciar a integração OAuth.
Linha de Crédito para parceiros
Venda os planos do OrbitSender para os seus clientes, com a cobrança feita pela sua plataforma e o repasse combinado em contrato.
Como funciona a integração
Visão end-to-end do fluxo OAuth 2.0 (Authorization Code + PKCE) que um parceiro usa para agir em nome do usuário no OrbitSender.