API atual/Referência completa/WhatsApp Platform

Credenciais da plataforma

Lê e grava as credenciais da Cloud API da Meta compartilhadas por todas as lojas, com os segredos mascarados na leitura.

A plataforma tem um único conjunto de credenciais da Cloud API do WhatsApp: URL da API, token de acesso permanente, id da WABA, token de verificação do webhook e segredo do app da Meta. Você grava uma vez aqui e todas as lojas com o módulo WhatsApp Commerce herdam. Nenhuma loja precisa (nem consegue) ver o token.

Use GET para ler o estado atual e PUT para gravar. Todas as chamadas desta página exigem root_admin com o privilégio manage_whatsapp_platform.

GET/api/v1/admin/whatsapp-platform/configAdmin

Ler as credenciais da plataforma

Devolve as credenciais com o token de acesso e o segredo do app mascarados: em vez do valor você recebe os indicadores api_token_set e app_secret_set. O restante volta em texto puro, inclusive webhook_verify_token.

Exemplo de requisição

bash

curl "$BASE_URL/api/v1/admin/whatsapp-platform/config" \
  -H "Authorization: Bearer $TOKEN"

Resposta

200Credenciais lidas

json

{
  "api_url": "https://graph.facebook.com/v23.0",
  "phone_number_id": "",
  "business_account_id": "104855559999999",
  "webhook_verify_token": "venddor-verify-2026",
  "api_token_set": true,
  "app_secret_set": true,
  "updated_at": "2026-10-06T14:21:09.317Z"
}

Campos da resposta

api_urlstring

URL base da Cloud API. Vazio quando nunca foi gravada.

phone_number_idstring

Id de um número de referência da plataforma. Cada loja usa o próprio número; este campo pode ficar vazio.

business_account_idstring

Id da WABA (conta empresarial do WhatsApp) compartilhada.

webhook_verify_tokenstring

Texto que você cadastra na Meta para ela validar a URL de webhook. Volta em texto puro.

api_token_setboolean

true quando há um token de acesso gravado. O token em si nunca é devolvido.

app_secret_setboolean

true quando há um segredo do app gravado. O segredo nunca é devolvido.

updated_atstring

Data da última gravação, RFC 3339 (UTC). Antes da primeira gravação vem como 0001-01-01T00:00:00Z.

PUT/api/v1/admin/whatsapp-platform/configAdmin

Gravar as credenciais da plataforma

Grava (ou substitui) as credenciais. É uma substituição completa dos campos de texto: o que você não enviar vira vazio. A exceção são os dois segredos, api_token e app_secret: vazio significa "manter o que já está gravado", o que permite salvar o formulário sem reenviar o segredo. Os valores são aparados (espaços das pontas removidos) e o token e o segredo são gravados criptografados. A mudança vale em até 30 segundos em todas as lojas (cache), e imediatamente nesta instância do servidor.

Corpo da requisição

api_urlstring

URL base da Cloud API, por exemplo https://graph.facebook.com/v23.0. Vazio apaga o valor.

api_tokenstring

Token de acesso permanente da Meta. Vazio mantém o token atual.

phone_number_idstring

Id do número de referência. Opcional; vazio apaga o valor.

business_account_idstring

Id da WABA compartilhada. Vazio apaga o valor e desliga o cadastro de números para todas as lojas.

webhook_verify_tokenstring

Token de verificação do webhook. Vazio apaga o valor.

app_secretstring

Segredo do app da Meta, usado para validar a assinatura dos webhooks. Vazio mantém o segredo atual.

Exemplo de requisição

bash

curl -X PUT "$BASE_URL/api/v1/admin/whatsapp-platform/config" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "api_url": "https://graph.facebook.com/v23.0",
    "api_token": "EAAG...token-permanente",
    "business_account_id": "104855559999999",
    "webhook_verify_token": "venddor-verify-2026",
    "app_secret": "segredo-do-app"
  }'

Resposta

200Credenciais gravadas

json

{ "success": true }

Erros

Status	Quando	Corpo de exemplo
400	O corpo não é um JSON válido (só no `PUT`)	`{"error":"Invalid request body"}`
401	Sem cabeçalho `Authorization`	`{"error":"missing authorization header"}`
403	Usuário que não é `root_admin`, ou sem o privilégio `manage_whatsapp_platform`	`{"error":"insufficient permissions"}`
500	Falha ao gravar ou ao criptografar	`{"error":"whatsapp: encrypt api_token: ..."}`

Veja também

Credenciais da plataforma

Lê e grava as credenciais da Cloud API da Meta compartilhadas por todas as lojas, com os segredos mascarados na leitura.

Use GET para ler o estado atual e PUT para gravar. Todas as chamadas desta página exigem root_admin com o privilégio manage_whatsapp_platform.

GET/api/v1/admin/whatsapp-platform/configAdmin

Ler as credenciais da plataforma

Exemplo de requisição

bash

curl "$BASE_URL/api/v1/admin/whatsapp-platform/config" \
  -H "Authorization: Bearer $TOKEN"

Resposta

200Credenciais lidas

json

{
  "api_url": "https://graph.facebook.com/v23.0",
  "phone_number_id": "",
  "business_account_id": "104855559999999",
  "webhook_verify_token": "venddor-verify-2026",
  "api_token_set": true,
  "app_secret_set": true,
  "updated_at": "2026-10-06T14:21:09.317Z"
}

Campos da resposta

api_urlstring

URL base da Cloud API. Vazio quando nunca foi gravada.

phone_number_idstring

Id de um número de referência da plataforma. Cada loja usa o próprio número; este campo pode ficar vazio.

business_account_idstring

Id da WABA (conta empresarial do WhatsApp) compartilhada.

webhook_verify_tokenstring

Texto que você cadastra na Meta para ela validar a URL de webhook. Volta em texto puro.

api_token_setboolean

true quando há um token de acesso gravado. O token em si nunca é devolvido.

app_secret_setboolean

true quando há um segredo do app gravado. O segredo nunca é devolvido.

updated_atstring

Data da última gravação, RFC 3339 (UTC). Antes da primeira gravação vem como 0001-01-01T00:00:00Z.

PUT/api/v1/admin/whatsapp-platform/configAdmin

Gravar as credenciais da plataforma

Corpo da requisição

api_urlstring

URL base da Cloud API, por exemplo https://graph.facebook.com/v23.0. Vazio apaga o valor.

api_tokenstring

Token de acesso permanente da Meta. Vazio mantém o token atual.

phone_number_idstring

Id do número de referência. Opcional; vazio apaga o valor.

business_account_idstring

Id da WABA compartilhada. Vazio apaga o valor e desliga o cadastro de números para todas as lojas.

webhook_verify_tokenstring

Token de verificação do webhook. Vazio apaga o valor.

app_secretstring

Segredo do app da Meta, usado para validar a assinatura dos webhooks. Vazio mantém o segredo atual.

Exemplo de requisição

bash

curl -X PUT "$BASE_URL/api/v1/admin/whatsapp-platform/config" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "api_url": "https://graph.facebook.com/v23.0",
    "api_token": "EAAG...token-permanente",
    "business_account_id": "104855559999999",
    "webhook_verify_token": "venddor-verify-2026",
    "app_secret": "segredo-do-app"
  }'

Resposta

200Credenciais gravadas

json

{ "success": true }

Erros

Status	Quando	Corpo de exemplo
400	O corpo não é um JSON válido (só no `PUT`)	`{"error":"Invalid request body"}`
401	Sem cabeçalho `Authorization`	`{"error":"missing authorization header"}`
403	Usuário que não é `root_admin`, ou sem o privilégio `manage_whatsapp_platform`	`{"error":"insufficient permissions"}`
500	Falha ao gravar ou ao criptografar	`{"error":"whatsapp: encrypt api_token: ..."}`