> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Endpoint de token: troca de código e atualização > O POST /token/ da Didit troca um código de autorização PKCE ou rotaciona um refresh token. Reutilizar um refresh token revoga a sessão. > [!WARNING] > > A autenticação é recente. Esses endpoints são servidos pelo emissor da sua aplicação, como `https://.auth.didit.me`, e nunca aceitam sua chave de API da Didit. Um refresh token só pode ser usado uma vez. Enviar novamente um refresh token já usado revoga a sessão inteira, então execute uma renovação por vez para cada sessão e substitua os três tokens juntos. Consulte [Refresh tokens](https://docs.didit.me/pt-br/authentication/tokens-and-jwks.md#tokens-de-renovação). ## OpenAPI ````yaml pt-br/openapi-authentication.json POST /token/ openapi: 3.0.3 info: title: Didit Authentication API version: 1.0.0 description: >- Os endpoints voltados ao servidor do Didit Authentication, o produto de login para os usuários finais da sua aplicação. O Authentication é **novo** e chega à produção na versão de 2026-11-01. ## URL base Cada aplicação é o seu próprio emissor OpenID Connect, e todos os endpoints abaixo são servidos na raiz desse emissor: - `https://.auth.didit.me` para uma aplicação de produção, ou `https://.sandbox.auth.didit.me` para uma aplicação de sandbox. - O seu próprio domínio personalizado, depois de ativado. Ele passa então a substituir o host padrão como emissor: novos tokens o indicam em `iss`, o discovery aponta para ele e a chave publicável muda. Tokens de acesso emitidos sob o host padrão falham em `/session/`, `/step-up/` e `/monitoring-token/` até serem renovados. Produção e sandbox são aplicações separadas, portanto são emissores separados, com chaves separadas. A chave publicável é `pk_live_` (produção) ou `pk_test_` (sandbox) seguida da codificação base64url sem preenchimento do emissor, sem barra final: decodifique-a para descobrir o emissor. Ela é um identificador público, não uma credencial. Os mesmos endpoints JSON também são servidos em `https://apx.didit.me/auth/v2/authentication/{application_id}/`. Os tokens sempre indicam o emissor acima, seja qual for o endereço que os emitiu. ## Credenciais Estes endpoints nunca recebem a sua chave de API do Didit nem um token do console. - O discovery, o JWKS e `POST /token/` não recebem credencial. Os clientes são públicos: não há client secret, e um código de autorização fica vinculado ao seu verificador PKCE (`S256`). O `client_id` é o ID da sua aplicação. - `/session/`, `/step-up/` e `/monitoring-token/` recebem o token de acesso da pessoa: `Authorization: Bearer `. Cada chamada bem-sucedida conta como atividade na sessão, então reinicia o tempo limite de inatividade da sessão. ## Corpos de requisição Todo endpoint que recebe um corpo aceita corpos JSON, form-encoded e multipart. Este documento lista JSON, além de form-encoded para `POST /token/`, como os clientes OAuth o enviam. Um campo que o endpoint não aceita recebe `400 {"": "unknown_field"}`. ## Tokens - **Token de acesso**: um JWT ES256 com o cabeçalho `typ: at+jwt`, válido por no máximo 5 minutos e nunca por mais tempo que a sua sessão. Claims: `AccessTokenClaims`. - **ID token**: um JWT ES256 com o cabeçalho `typ: JWT`. Claims: `IDTokenClaims`. Ele nunca é aceito como token de acesso. - **Refresh token**: uma string aleatória que é rotacionada a cada uso. Enviar novamente um refresh token já usado revoga a sessão. Verifique um token com as chaves de `GET /.well-known/jwks.json`: o algoritmo deve ser `ES256`, `typ` deve corresponder ao tipo de token, `iss` deve ser igual ao emissor que você configurou e `aud` ao ID da sua aplicação. A verificação offline só percebe uma sessão revogada quando o token de acesso dela expira; `GET /session/` é a verificação instantânea. ## Erros | Corpo | Quando | | --- | --- | | `{"error": ""}` | Erros de `POST /token/`, todos com status `400`, no formato de corpo da [RFC 6749, seção 5.2](https://www.rfc-editor.org/rfc/rfc6749#section-5.2): `invalid_grant`, `invalid_client` e o `mfa_required` do Didit. Erros de serviço: `temporarily_unavailable`, `monitoring_unavailable`, `monitoring_disabled`. | | `{"": [""]}` ou `{"": ""}` | Um campo da requisição falhou na validação. `non_field_errors` indica uma regra que envolve vários campos, e `unknown_field`, um campo que o endpoint não aceita. | | `{"detail": ""}` | `401` (`invalid_token`), `403` (`origin_not_allowed`), `404` (aplicação ou step-up desconhecidos) e `429` (limite de requisições). Também `400` para um corpo que não pode ser interpretado (`JSON parse error - ...`), `405` para um método que o endpoint não atende e `415` para um `Content-Type` não suportado. | Um `401` também traz `WWW-Authenticate: Bearer`, e um `429` traz `Retry-After` em segundos. Duas recusas não são JSON. Um endereço que não é um emissor é recusado antes de chegar a estes endpoints, por exemplo com um `404` vazio para um nome `*.auth.didit.me` não utilizado. Um `step_up_id` que não é um UUID recebe uma página `404`. ## Limites de requisições Uma requisição precisa passar por duas camadas. **Limites por endpoint**, contados por endereço IP do cliente, por aplicação e por endpoint: - Discovery e JWKS: 1.200 requisições por minuto e 12.000 por hora. - Todos os demais endpoints: 30 requisições por minuto e 300 por hora. `GET` e `DELETE /session/` compartilham a mesma contagem. Acima de um limite: `429 {"detail": "Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds."}`, ou `3600 seconds` para o limite por hora. **Proteção contra bots**, em todo `POST` e `DELETE`. Seus buckets são compartilhados por todas as requisições `POST` e `DELETE` da aplicação, incluindo as etapas de login hospedadas, e são reabastecidos continuamente: - 60 requisições por minuto por endereço IP do cliente. - 30 requisições por minuto por dispositivo, para requisições que identificam o seu dispositivo, como fazem os SDKs de navegador e nativos. - 1.000 requisições por minuto para a aplicação inteira, somando todos os endereços IP. Acima de um bucket: `429 {"detail": "rate_limited Expected available in N seconds."}` (`1 second.` quando N é 1). O bucket por IP abrange vários endpoints, então um único endereço que mistura chamadas de token, step-up e logout pode esgotá-lo antes de atingir qualquer limite por endpoint. O bucket da aplicação conta todos os clientes da aplicação, incluindo navegadores. As duas camadas respondem antes de o endpoint ser executado, então uma requisição que recebeu `429` não foi executada: tente novamente depois de `Retry-After`, inclusive no caso de uma renovação. ## Requisições do navegador Uma requisição que traz um cabeçalho `Origin` deve vir de uma das origens da própria aplicação ou de suas origens permitidas; caso contrário, recebe `403 origin_not_allowed`. Requisições de servidor para servidor não enviam `Origin`. ## Fora do escopo deste documento Estas rotas atendem às páginas hospedadas, aos SDKs de navegador e nativos e a agentes de IA. Elas não fazem parte do contrato de servidor, e os SDKs de servidor não as chamam: - Etapas de login: `POST /authorize/`, `POST /password/`, `/email/*`, `/phone/*`, `/password-reset/*`, `/passkeys/*`, `/mfa/*`, `/social/*` e `/protection/complete/`. - Páginas hospedadas e callbacks: `/sign-in`, `/magic`, `/invite`, `/reset`, `/verify/`, `/sso/*`, `/wallet/callback/`, `/logo/` e os arquivos de associação de apps nativos em `/.well-known/`. - Acesso de agentes: `/agents/*` e `/grants/`, incluindo `GET /agents/session/`, a verificação em tempo real do token de acesso de um agente de IA. O acesso de agentes não faz parte desta versão do contrato. - A API de gerenciamento do console para o Authentication, que recebe sessões do console. Os eventos do Authentication ainda não são entregues como webhooks, por isso este documento não define nenhum webhook. servers: - url: https://{issuer} description: 'O emissor da sua aplicação: a origem do login.' variables: issuer: default: your-app.auth.didit.me description: >- O host do emissor: `.auth.didit.me` (produção), `.sandbox.auth.didit.me` (sandbox) ou o seu domínio personalizado ativo. security: [] tags: - name: Issuer description: Chaves de descoberta e de assinatura, para verificar tokens. - name: Tokens description: Os grants de código de autorização e de refresh. - name: Sessions description: Verifica e encerra a sessão vinculada a um token de acesso. - name: Step-ups description: Verificação antes de uma ação sensível. - name: Monitoring description: Credenciais do dispositivo para eventos de monitoramento de transações. paths: /token/: post: tags: - Tokens summary: Trocar um código ou atualizar tokens description: >- O endpoint de token, para os dois tipos de grant. - `authorization_code` troca o código recebido pelo seu `redirect_uri` por um token de acesso, um token de ID e um token de atualização. O código funciona uma única vez, em até 60 segundos, com o verificador PKCE e exatamente o mesmo `redirect_uri` do login que o gerou. Quando a aplicação permite uma sessão por pessoa, a troca encerra as outras sessões dessa pessoa. - `refresh_token` retorna novos tokens de acesso, de ID e de atualização, e o token de atualização que você enviou deixa de funcionar. **Enviar novamente um token de atualização já usado revoga a sessão** e retorna `invalid_grant`; por isso, execute uma atualização por vez em cada sessão e substitua os três tokens juntos. Se uma atualização falhar com `400` ou não receber resposta, inicie o login novamente em vez de tentar de novo: uma nova tentativa após uma atualização que foi bem-sucedida conta como reutilização. Um `429` é respondido antes de a atualização ser executada, então é seguro tentar novamente após o `Retry-After`. Um `503` significa que a atualização não aconteceu e que o token de atualização continua funcionando: tente novamente com backoff. O corpo pode ser JSON ou codificado como formulário. operationId: authentication_token requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/TokenRequest' examples: AuthorizationCode: summary: Trocar o código de autorização value: grant_type: authorization_code code: Vb0bVt4CLlr8ZL0kE5mAxv8gS6R0rW3hYqC1pN7dJ2s code_verifier: dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk redirect_uri: https://app.example.com/auth/callback RefreshToken: summary: Atualizar os tokens value: grant_type: refresh_token refresh_token: >- N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW application/x-www-form-urlencoded: schema: $ref: '#/components/schemas/TokenRequest' responses: '200': description: Novos tokens para a sessão. headers: Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/TokenResponse' examples: Tokens: summary: Tokens para uma nova sessão value: access_token: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6ImF0K2p3dCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJSZ3F1NzE3OWUtbGhKMGJ2VmVELVlnIiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJjbGllbnRfaWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQifQ.AxrqN8Pm-Op-3OayZk8HcvlFQZhozRiOvQ0SgQsGgrz4UNeJlUEeSlq9B8WcYUuM8naRaY5kQt_TUofnsYcyYQ id_token: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6IkpXVCJ9.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.avhfDFp_aUV5_1ssYzwDcIA7H6Waf19P0bn5GCg25FhLIZBGIlwc8HiUPGj1j26r21OkP4FQnS_jM1Ho3dHtKQ refresh_token: >- N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW token_type: Bearer expires_in: 299 session_id: c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1 '400': description: >- A concessão falhou. `invalid_grant`: o código ou o refresh token é desconhecido, já foi usado ou expirou; o verificador PKCE ou o `redirect_uri` não corresponde, ou o `redirect_uri` não está mais registrado; a pessoa foi bloqueada ou o e-mail dela não está mais verificado; a sessão terminou ou não atende mais à sua política de MFA; ou, no caso de um código, você desativou o método de login de onde ele veio. Desativar um método não impede a renovação de sessões que ele já iniciou. `invalid_client`: `client_id` não é o ID da sua aplicação. `mfa_required`: o login não atendeu à sua política de MFA. Erros de campo indicam um campo ausente ou inválido. Um corpo que não pode ser interpretado recebe uma mensagem `detail`. headers: Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: anyOf: - $ref: '#/components/schemas/OAuthError' - $ref: '#/components/schemas/FieldErrors' - $ref: '#/components/schemas/Detail' examples: InvalidGrant: summary: Código ou token de atualização rejeitado value: error: invalid_grant InvalidClient: summary: client_id incorreto value: error: invalid_client MfaRequired: summary: Política de MFA não atendida value: error: mfa_required MissingFields: summary: Uma concessão sem os campos obrigatórios value: non_field_errors: - invalid_request UnknownGrant: summary: grant_type não suportado value: grant_type: - '"password" is not a valid choice.' UnknownField: summary: Um campo que o endpoint não aceita value: foo: unknown_field MalformedBody: summary: Um corpo JSON que não pode ser interpretado value: detail: >- JSON parse error - Expecting property name enclosed in double quotes: line 1 column 2 (char 1) '403': $ref: '#/components/responses/OriginNotAllowed' '404': $ref: '#/components/responses/ApplicationNotFound' '429': $ref: '#/components/responses/RateLimited' '503': $ref: '#/components/responses/TemporarilyUnavailable' security: - {} components: schemas: TokenRequest: description: >- Uma das duas concessões (grants), escolhida por `grant_type`. O endpoint aceita os campos de ambas as concessões e valida todo campo que recebe, então uma renovação (refresh) que também traga um `code_verifier` malformado recebe um erro de campo. Envie apenas os campos da sua concessão; qualquer outro campo recebe `unknown_field`. oneOf: - $ref: '#/components/schemas/AuthorizationCodeGrantRequest' - $ref: '#/components/schemas/RefreshTokenGrantRequest' discriminator: propertyName: grant_type mapping: authorization_code: '#/components/schemas/AuthorizationCodeGrantRequest' refresh_token: '#/components/schemas/RefreshTokenGrantRequest' TokenResponse: type: object description: Tokens de uma sessão. Substitua os três juntos após uma renovação. required: - access_token - id_token - refresh_token - token_type - expires_in - session_id properties: access_token: type: string description: >- JWT ES256, cabeçalho `typ: at+jwt`. Envie-o como `Authorization: Bearer `. Claims: `AccessTokenClaims`. example: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6ImF0K2p3dCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJSZ3F1NzE3OWUtbGhKMGJ2VmVELVlnIiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJjbGllbnRfaWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQifQ.AxrqN8Pm-Op-3OayZk8HcvlFQZhozRiOvQ0SgQsGgrz4UNeJlUEeSlq9B8WcYUuM8naRaY5kQt_TUofnsYcyYQ x-didit-jwt: header: '#/components/schemas/AccessTokenHeader' claims: '#/components/schemas/AccessTokenClaims' id_token: type: string description: >- JWT ES256, cabeçalho `typ: JWT`, para que sua aplicação saiba quem fez login. Nunca o envie como token de acesso. Claims: `IDTokenClaims`. example: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6IkpXVCJ9.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.avhfDFp_aUV5_1ssYzwDcIA7H6Waf19P0bn5GCg25FhLIZBGIlwc8HiUPGj1j26r21OkP4FQnS_jM1Ho3dHtKQ x-didit-jwt: header: '#/components/schemas/IDTokenHeader' claims: '#/components/schemas/IDTokenClaims' refresh_token: type: string description: >- De uso único. É válido até o fim da sessão, e cada refresh retorna um novo. example: N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW token_type: type: string enum: - Bearer expires_in: type: integer minimum: 0 maximum: 300 description: >- Segundos até o token de acesso expirar: no máximo 300, menos quando a sessão termina antes. example: 299 session_id: type: string format: uuid description: >- A sessão à qual estes tokens pertencem, o mesmo valor da claim `sid`. example: c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1 OAuthError: title: OAuth error type: object description: Um erro OAuth (RFC 6749, seção 5.2) ou um erro de serviço. required: - error properties: error: type: string example: invalid_grant FieldErrors: title: Field errors type: object description: >- Erros de validação por campo. Cada valor é uma lista de mensagens ou um único código (`unknown_field`, `invalid_redirect_uri`). `non_field_errors` contém as regras que envolvem vários campos. additionalProperties: oneOf: - type: string - type: array items: type: string Detail: type: object required: - detail properties: detail: type: string example: invalid_token AuthorizationCodeGrantRequest: title: Authorization code grant type: object description: >- Troque o código de autorização do seu redirecionamento por tokens. O código funciona uma única vez, por 60 segundos. required: - grant_type - code - code_verifier - redirect_uri properties: grant_type: type: string enum: - authorization_code code: type: string maxLength: 128 description: >- O parâmetro de consulta `code` que seu `redirect_uri` recebeu. Verifique o `state` do callback antes de trocá-lo. example: Vb0bVt4CLlr8ZL0kE5mAxv8gS6R0rW3hYqC1pN7dJ2s code_verifier: type: string minLength: 43 maxLength: 128 pattern: ^[A-Za-z0-9._~-]{43,128}$ description: O verificador PKCE cujo hash S256 foi o `code_challenge` do login. example: dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk redirect_uri: type: string maxLength: 2048 description: >- O `redirect_uri` exato com que o login começou. Ele ainda precisa ser um dos URIs de redirecionamento da aplicação. example: https://app.example.com/auth/callback client_id: type: string maxLength: 64 description: >- Opcional. Quando enviado, deve ser igual ao ID da sua aplicação; caso contrário, a requisição falha com `invalid_client`. example: 7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d scope: type: string maxLength: 512 description: >- Opcional e aceito de clientes OpenID Connect padrão. Nunca amplia o que o login concedeu. example: openid email RefreshTokenGrantRequest: title: Refresh token grant type: object description: >- Troca um refresh token por novos access token, ID token e refresh token. O refresh token funciona uma única vez: enviá-lo novamente revoga a sessão, por isso execute uma atualização por vez em cada sessão. required: - grant_type - refresh_token properties: grant_type: type: string enum: - refresh_token refresh_token: type: string maxLength: 128 description: O `refresh_token` da resposta de token anterior. example: N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW client_id: type: string maxLength: 64 description: >- Opcional. Quando enviado, deve ser igual ao ID da sua aplicação; caso contrário, a requisição falha com `invalid_client`. example: 7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d scope: type: string maxLength: 512 description: >- Opcional e aceito de clientes OpenID Connect padrão. Um refresh nunca amplia o que a sessão detém. example: openid email responses: OriginNotAllowed: description: >- A requisição trouxe um `Origin` que não é o da própria aplicação nem está entre suas origens permitidas. Requisições de servidor não enviam `Origin`. headers: Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: OriginNotAllowed: summary: Origem não permitida value: detail: origin_not_allowed ApplicationNotFound: description: >- O endereço pertence a uma aplicação, mas a Autenticação não está ativa para ela. No endereço `apx.didit.me`, isso indica que o ID da aplicação é desconhecido. Um endereço que não pertence a nenhuma aplicação é recusado antes de chegar ao endpoint, e essa resposta não é JSON. headers: Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: ApplicationNotFound: summary: Aplicação desconhecida value: detail: No Configuration matches the given query. RateLimited: description: >- Muitas requisições deste endereço IP para este endpoint ou, em um `POST` ou `DELETE`, um bucket de proteção contra bots está vazio. Nada foi executado: aguarde `Retry-After` segundos e tente novamente. headers: Retry-After: description: Segundos de espera antes de tentar novamente. schema: type: integer example: 60 Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: RateLimited: summary: Limite do endpoint value: detail: >- Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds. BotProtection: summary: Limite de proteção contra bots (POST e DELETE) value: detail: rate_limited Expected available in 2 seconds. TemporarilyUnavailable: description: >- Um serviço do qual a requisição depende está temporariamente indisponível. Tente novamente com backoff. headers: Cache-Control: description: 'Sempre `no-store`: nunca armazene esta resposta em cache.' schema: type: string example: no-store Pragma: description: Sempre `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/OAuthError' examples: TemporarilyUnavailable: summary: Tentar novamente mais tarde value: error: temporarily_unavailable ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.