Docs
Referência da APITokenização

Abrir sessão do SDK de campos

Abre a sessão que autoriza o SDK de campos (`DMCard`) a capturar o cartão no navegador do comprador. Chame do seu servidor, uma vez por checkout. A sessão vale 1 hora e permite até 5 tentativas de tokenização. Disponível no sandbox e em produção, com habilitação por conta. Guia: /docs/cartoes/sdk-de-campos.

POST
/v1/card-token-sessions

Abre a sessão que autoriza o SDK de campos (DMCard) a capturar o cartão no navegador do comprador. Chame do seu servidor, uma vez por checkout. A sessão vale 1 hora e permite até 5 tentativas de tokenização. Disponível no sandbox e em produção, com habilitação por conta. Guia: /docs/cartoes/sdk-de-campos.

Autenticação

ApiKey
headerAuthorization<token>

A chave de API crua, sem prefixo: kpa_test_sk_… no sandbox e kpa_live_sk_… em produção. Use apenas no servidor.

Corpo da requisição

application/json
  1. body

Corpo vazio. A conta vem da chave de API.

Corpo da resposta

Sessão aberta. Entregue session_token ao navegador.

application/json
  1. response
session_token*string
Padrão (regex)^cts_[0-9A-HJKMNP-TV-Z]{32}$
expires_at*string
Formatodate-time
max_tokens*integer

Tentativas de tokenização permitidas na sessão.

Exemplo de requisição
curl -X POST 'https://g6idryo27h.execute-api.us-east-1.amazonaws.com/v1/card-token-sessions' \  -H 'Content-Type: application/json' \  -d '{}'
Exemplo de resposta
{  "session_token": "cts_9J4W2C7X5N8QK2R4T6Y8V0H2M4P6A1B3",  "expires_at": "2026-11-02T20:06:00Z",  "max_tokens": 5}

Abrir sessão 3DS POST

Abre a sessão de coleta de dados do dispositivo para uma tentativa de cobrança de crédito. O `session_token` vai ao navegador (SDK `DM3DS`) e volta na criação da cobrança em `paymentMethodOptions.creditCard.threeDs.sessionToken`. Validade de 30 minutos, uso único. Esta rota usa `snake_case`. Erros trazem o código em `title`.

Tokenizar cartão POST

Troca os dados do cartão por um token reutilizável (`ctok_…`). Não cobra nada. Se o mesmo cartão já tem token ativo para o mesmo `customerId`, responde `200` com o token existente e `deduplicated: true`. Nesta rota o código de segurança é `cvv` (não `cvc`) e os erros usam o envelope `{code, message}`. Disponível no sandbox; confirme a habilitação em produção com a equipe de integração.