Evolução da autenticação de webhooks: Basic Auth com usuário e senha
Atualizado em
Agora você autentica os webhooks da loja só com usuário e senha, sem URL de token, e testa as credenciais antes de ir para produção.
O que mudou
Desde 22/09/2026, o Basic Auth dos webhooks evoluiu: agora ele funciona só com usuário e senha, enviados em cada disparo, sem nenhuma URL de token.
A configuração com Client ID, Client Secret e URL de token, que ficava no Basic Auth, continua disponível com o nome OAuth2 - Client Credentials. A opção OAuth2 passou a se chamar OAuth2 - Authorization Code.
Por que isso é bom pra você: — Sistemas parceiros que só aceitam usuário e senha fixos, como ERPs legados e integrações simples, agora conseguem receber os webhooks da loja de forma autenticada. E quem já usava OAuth2 não precisa refazer nada.
Como era antes
A lista Selecione a autenticação tinha duas opções:
Opção na tela · Como funcionava
Basic Auth · Usava Client ID e Client Secret para obter um token em uma "Url de acesso ao token"
OAuth2 · Fluxo OAuth2 (Authorization Code), com URLs de redirecionamento, autorização, acesso ao token e proprietário do recurso
Com a evolução, o Basic Auth passa a atender sistemas parceiros que trabalham só com usuário e senha fixos, sem URL de token.
O que mudou na nomenclatura
Com a evolução do Basic Auth, as configurações baseadas em token passaram a ter nomes que indicam o tipo de fluxo OAuth2 de cada uma. Campos, regras e comportamento dessas configurações continuam exatamente iguais.
Como era · Como ficou · O que muda para você
Basic Auth com Client ID, Client Secret e URL de token · OAuth2 - Client Credentials · Só o nome
OAuth2 · OAuth2 - Authorization Code · Só o nome
Já usava uma dessas configurações? Não precisa fazer nada — Se a sua loja usava o Basic Auth com Client ID, Client Secret e URL de token, essa configuração agora aparece como "OAuth2 - Client Credentials". Ela continua funcionando igual e não precisa ser refeita.
O que evoluiu e o que é novo
Basic Auth (evoluiu): agora funciona só com Usuário e Senha, sem URL de token, sem botão Autenticar e sem expiração.
Botão Testar credenciais (novo): envia uma requisição de teste para um webhook escolhido, para conferir se usuário e senha funcionam antes de ir para produção.
Onde configurar
No painel, acesse API, aba Configurações Avançadas, bloco Configurações avançadas de autenticação. Quem pode configurar webhooks também pode testar as credenciais.
A configuração vale para a loja (ou CD) em que o painel está aberto. Os webhooks de cada loja usam a configuração da própria loja.
Os três modos
Modo na tela · Campos exibidos · Botão
OAuth2 - Authorization Code · Client ID, Client Secret e as URLs de redirecionamento, autorização, acesso ao token e proprietário do recurso · Autenticar
OAuth2 - Client Credentials · Client ID, Client Secret e Url de acesso ao token · Autenticar
Basic Auth (novo) · Usuário e Senha · Testar credenciais
Como configurar o Basic Auth
Acesse API > Configurações Avançadas.
Marque Habilitar autenticação. Sem isso, a autenticação não é enviada nos webhooks.
Em Selecione a autenticação, escolha Basic Auth.
Preencha Usuário e Senha, que são obrigatórios.
Se quiser, clique em Testar credenciais (veja a próxima seção).
Clique em Salvar. Não existe etapa de Autenticar neste modo.
Senha gravada: por segurança, ela nunca é exibida de novo. Ao voltar à tela, o campo aparece vazio com o texto "Deixe em branco para manter a senha atual". Deixar em branco e salvar mantém a senha gravada.
Troca de modo: mudar para Basic Auth não apaga os dados de OAuth2 já preenchidos. Eles só ficam ocultos.
Vale para todos os webhooks: a autenticação é enviada em todos os tipos de webhook habilitados na aba Webhook. Não dá para escolher só alguns.
Sem token nem expiração: se a senha mudar no sistema parceiro, basta atualizar e salvar.
Testar credenciais
O botão Testar credenciais envia uma requisição de teste com o usuário e a senha digitados para um webhook que você escolhe, sem salvar nada. O teste é opcional: dá para salvar sem testar.
Clique em Testar credenciais. Abre a janela "Testar credenciais".
A janela lista só os webhooks habilitados e com URL preenchida na aba Webhook, com o tipo do evento e a URL.
Clique no webhook desejado. O teste dispara na hora e aparece "Enviando requisição de teste…".
O resultado aparece na própria janela. Dá para clicar em outro webhook e testar de novo.
Se a loja não tiver nenhum webhook habilitado com URL, o botão fica desabilitado com a dica "Habilite ao menos um webhook com URL na aba Webhook para testar as credenciais."
Melhores práticas
Escolhendo o modo
Use Basic Auth quando o sistema parceiro pedir só usuário e senha fixos.
Use um dos modos OAuth2 quando o parceiro fornecer Client ID, Client Secret e URL de token.
Antes de ir para produção
Habilite e preencha a URL de pelo menos um webhook e use Testar credenciais para confirmar usuário e senha.
Avise o parceiro que ele vai receber um evento de teste (webhook.test), que pode ser ignorado.
Lojas com vários CDs
Configure a autenticação em cada loja (ou CD) que dispara webhooks: cada uma usa a sua própria configuração.
Perguntas frequentes
Eu usava o Basic Auth com URL de token. Onde está essa configuração?
Ela agora aparece como "OAuth2 - Client Credentials", com os mesmos dados e o mesmo funcionamento. Não precisa refazer nada.
Quero usar só usuário e senha, sem URL de token.
Escolha Basic Auth, marque Habilitar autenticação, preencha Usuário e Senha e salve.
O teste deu Falha de autenticação.
O sistema parceiro respondeu 401 ou 403. Confira usuário e senha com o parceiro e veja se o campo Usuário não ficou vazio.
O teste deu Inconclusivo (HTTP 404).
O endpoint respondeu, mas não dá para afirmar nada sobre a senha. Normalmente a URL do webhook está errada ou o parceiro não aceita o conteúdo de teste.
A senha sumiu da tela.
Por segurança, ela nunca é exibida de novo, mas continua gravada. Deixe o campo em branco para manter a senha atual.
O botão Testar credenciais está desabilitado.
Não há webhook habilitado com URL na aba Webhook. Habilite pelo menos um.
Configurei e os webhooks continuam chegando sem autenticação.
Confira se Habilitar autenticação está marcado e se a configuração foi feita na mesma loja (ou CD) que dispara os webhooks.
Precisa de ajuda? — Fale com o suporte em suporte@flexy.com.br. Para agilizar, informe a loja (ou CD), o modo de autenticação escolhido, o tipo de webhook e um print do resultado do teste.
INFORMAÇÕES TÉCNICAS
Para o time técnico do sistema parceiro que recebe os webhooks.
Cabeçalho Authorization no disparo
No modo Basic Auth, todo webhook da loja sai com o cabeçalho Authorization: Basic <usuário:senha em base64>, montado na hora de cada disparo. O conteúdo (corpo) do webhook não muda.
Situação · Cabeçalho Authorization enviado
Habilitar autenticação desmarcado · Vazio, em qualquer modo
Basic Auth habilitado · Basic + usuário:senha em base64
OAuth2 habilitado e autenticado com sucesso · O token obtido no Autenticar (como já era antes)
OAuth2 habilitado sem autenticação com sucesso · Vazio
Requisição do Testar credenciais
Um POST para a URL do webhook escolhido, com o cabeçalho Basic e este conteúdo fictício:
{ — "event": "webhook.test", — "webHookType": "<tipo>", — "test": true, — "sentAt": "<data e hora>" — }
Nenhum pedido ou cliente real é enviado.
O teste não aparece no histórico de disparos.
Tempo limite de 10 segundos.
Só 401 e 403 são tratados como falha de credencial. Para o teste dar Sucesso, o endpoint precisa responder 2xx a esse conteúdo.