Ambientes e endereços
As superfícies da API (API, Hooks e SDKs), os endereços de sandbox e de produção, e as diferenças entre os dois ambientes.
A Accelerazione expõe três superfícies. Cada uma tem um público diferente, e misturar os papéis é a causa mais comum de erro de configuração.
| Superfície | Quem chama | Autenticação | Para quê |
|---|---|---|---|
| API | O seu servidor | Chave de API no cabeçalho Authorization | Criar e consultar cobranças, abrir sessões 3DS e do SDK de campos, tokenizar cartão, estornar, consultar saldo e extrato e sacar. |
| Hooks | O navegador do comprador, pelo SDK | Nenhuma: o acesso é dado por tokens de uso único gerados pela API | Coleta de dados do dispositivo, páginas do desafio 3DS e tokenização dos campos de cartão. |
| SDK | O navegador do comprador | Nenhuma | Arquivos JavaScript: a coleta 3DS (DM3DS) e os campos de cartão (DMCard). |
A chave de API nunca vai para o navegador ou para um app. O navegador recebe só o que a API devolve para a interação, como o session_token das sessões 3DS e do SDK de campos e a URL do desafio.
Endereços
| Superfície | Sandbox | Produção |
|---|---|---|
| API | https://g6idryo27h.execute-api.us-east-1.amazonaws.com | https://payments.kirvano.com |
| Hooks | https://dq3pq0toml.execute-api.us-east-1.amazonaws.com | https://payments-hooks.kirvano.com |
| SDK 3DS | https://efv0xy10tk.execute-api.us-east-1.amazonaws.com/sdk/3ds.js | https://payments-js.kirvano.com/v2/3ds.js |
| SDK de campos de cartão | https://efv0xy10tk.execute-api.us-east-1.amazonaws.com/card/v1/card.js | https://payments-js.kirvano.com/card/v1/card.js |
| Prefixo da chave de API | kpa_test_sk_ | kpa_live_sk_ |
Nos exemplos desta documentação, DM_API_BASE representa o endereço da API e DM_HOOKS_BASE o endereço Hooks. Defina as variáveis no ambiente da sua aplicação:
export DM_API_BASE="https://g6idryo27h.execute-api.us-east-1.amazonaws.com"
export DM_HOOKS_BASE="https://dq3pq0toml.execute-api.us-east-1.amazonaws.com"
export DM_API_KEY="kpa_test_sk_..." # a chave de sandbox que você recebeuAs abas Sandbox e Produção desta documentação ficam sincronizadas: escolha o ambiente uma vez e todas as páginas mostram os endereços dele.
Guarde os endereços em configuração, nunca no código. A troca de ambiente deve ser uma mudança de variável, não um deploy de código novo.
Sandbox
O sandbox é o ambiente de testes. Ele não movimenta dinheiro real e aceita apenas dados de teste. Desde 3 de novembro de 2026, todas as rotas desta documentação existem nos dois ambientes, inclusive saldo, saques, extrato e o SDK de campos de cartão. O contrato é o mesmo da produção, com estas diferenças:
- Permissões. Nas rotas de saldo, saques e extrato, o sandbox confere a permissão da chave como a produção. Nas demais rotas, ainda não: uma chamada que funciona no sandbox pode receber
403em produção se a chave de produção não tiver a permissão daquela rota. Peça as mesmas permissões nos dois ambientes. - Desfechos simulados. Aprovação, recusa e desafio de cartão dependem do cartão e do nome do titular; a confirmação de Pix depende de simulação. Veja dados de teste.
- Saques simulados. O saque reserva o saldo de teste e passa pela análise, mas o Pix de saída é simulado. Veja saques no sandbox.
- Extrato. A rota existe, mas só responde para contas com conta bancária vinculada, o que a maioria das contas de teste não tem. Sem vínculo, a resposta é
404 Statement.BankAccountNotFound. - Disponibilidade. O sandbox pode ficar indisponível fora do horário comercial. Uma falha de rede no sandbox não indica problema na sua integração; repita mais tarde.
Produção
A chave de produção e o segredo de assinatura de webhooks de produção são entregues pela equipe de integração depois da homologação. O contrato é o mesmo do sandbox: troque as variáveis de endereço e a chave, e mantenha o código.
O que configurar antes da primeira chamada
Peça à equipe de integração da Accelerazione:
- Chave de API de sandbox. Começa com
kpa_test_sk_. A de produção começa comkpa_live_sk_. - Métodos e moedas habilitados para a conta: Pix, cartão de crédito, cartão de débito, Pix parcelado; BRL e, para cartão, USD.
- Para cartão: o ID do recebedor (
recipientId) e o escopo da conta,DomesticouOffshore. Operação doméstica e offshore são credenciamentos separados, cada um com a sua chave: veja Contas, chaves e identificadores. - Para o desafio 3DS: o cadastro da origem HTTPS de cada checkout, por exemplo
https://loja.example.com. Com mais de uma loja ou domínio, cadastre todas: veja várias lojas e domínios. - Para o SDK de campos: a habilitação da conta e a permissão
card-token-sessions:create. - Para webhooks: o segredo de assinatura HMAC.
- Para saldo e saques: o
accountIdda conta e os IPs públicos de saída do seu servidor, se a sua conta usar lista de IPs permitidos.