API de leitura, OAuth e MCP

Chaves de leitura

Crie a chave em Configurações do site → API e MCP. O texto aparece uma vez e somente o hash SHA-256 é armazenado. Cada chave pertence a um site e pode permitir separadamente Analytics, Live e Web Vitals.

Envie Authorization: Bearer rui_read_... para GET /api/v1/read/analytics, GET /api/v1/read/realtime ou GET /api/v1/read/web-vitals.

MCP

Use POST /api/mcp como endpoint Streamable HTTP JSON-RPC com a mesma chave. Ele expõe get_analytics, get_realtime e get_web_vitals, sem escrita nem identificadores brutos.

OAuth 2.0 com PKCE

Registre o nome e a URI HTTPS exata. Clientes públicos usam Authorization Code com PKCE S256, sem segredo. O código é único e expira em 10 minutos; o token expira em 30 dias. Autorize por /oauth/authorize e troque o código em POST /api/oauth/token. Excluir o cliente também revoga suas chaves.