Contas de serviço

Uma identidade para software — uma integração, uma exportação agendada, a central de suporte — que desempenha funções como uma pessoa, nunca acessa o console e nunca é solicitada uma segunda ação.

A autenticação em duas etapas é adequada para todas as pessoas, mas inadequada para todos os scripts: um programa que faz login com uma senha recebe uma solicitação de código que não pode digitar. Uma conta de serviço é a identidade que o software usa em vez disso. Ela detém funções e empresas exatamente como uma pessoa, portanto, todas as permissões de tela, restrições de unidade organizacional e regras de responsabilidade se aplicam a ela — mas não possui uma senha conhecida por ninguém, o formulário de login a rejeita e ela não pode usar as partes pessoais ou interativas do console (preferências, personalização, painel de controle, assistente, configuração em duas etapas, console do sistema).

1. Acesse Plataforma → Acesso e Segurança → Acesso → Contas de serviço (ao lado de Usuários) e selecione Nova conta de serviço.
2. Dê a ela um endereço que indique sua finalidade (exportação-noturna@serviço.suaempresa), um nome e uma frase descrevendo sua função.
3. Marque as suas funções. Atribua-lhe a função mais específica que execute a tarefa: uma função com a capacidade de exibir apenas Pedidos de Compra é uma chave que pode ler apenas pedidos de compra.
4. Opcionalmente, limite-o a endereços (um IP ou um intervalo IPv4, como 203.0.113.0/24), reduza o tempo de vida do token ou defina uma data de expiração.
5. Crie-o. O segredo é mostrado APENAS UMA VEZ — copie-o para o programa que o utilizará. Ele é armazenado apenas como uma impressão digital e não pode ser lido novamente.

O programa troca o segredo por um token que dura alguns minutos e envia o token em cada chamada, como qualquer outro token de portador:

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• A nova chave secreta substitui a antiga e a interrompe imediatamente. Os tokens já emitidos expiram, a menos que você os cancele.
• Revoke interrompe o segredo E encerra todos os tokens ativos na próxima requisição.
• A desativação encerra a conta; o nome dela permanece em todas as linhas de auditoria em que foi registrada.
• Cada token representa uma sessão: ele aparece em Plataforma → Acesso → Sessões Web e de Usuário e pode ser encerrado ali, como qualquer outro.
• Segredos incorretos contribuem para o bloqueio da mesma forma que uma senha incorreta, e cada troca de informações é registrada no log de auditoria.
• Alguém que pode gerenciar contas de serviço, mas não é um administrador, só pode atribuir a essa pessoa as funções que ela mesma detém, e nunca a função de Administrador.

A conta da central de suporte

Cada implantação inclui uma conta de serviço que não precisou ser criada: support-desk@service.tranxact. Ela é provisionada pela própria implantação a partir de uma chave secreta definida pelo fornecedor durante a instalação, portanto, ninguém na sua empresa precisa emitir qualquer documento para que seus chamados sejam respondidos. Essa conta detém a função de Suporte Técnico em todas as empresas, lendo e respondendo aos chamados de suporte e seus anexos — sem abrir nenhum módulo ou outra tela. Ela é listada como "definida pela implantação"; revogá-la é uma decisão sua e a implantação não a anulará.