Autenticação

A API de entrega é autenticada por uma chave de API de conteúdo, por marca.

Toda chamada à API de entrega (/cd) é autenticada por uma chave de API de conteúdo, única por marca. A chave identifica a marca e libera a leitura do seu conteúdo publicado.

Onde pegar a chave

No painel da citou: sua marca → Configurações → Chave de API de conteúdo. Você pode regenerar a chave a qualquer momento (isso invalida a anterior).

A chave é um segredo de leitura. Ela só expõe o conteúdo publicado da marca — nunca rascunhos. Ainda assim, evite versioná-la no seu repositório: use uma variável de ambiente (ex.: CITOU_KEY).

Como enviar a chave

Há duas formas equivalentes:

Query string (?key=)

# Ideal no cliente/navegador (requisição simples, sem preflight)
curl "https://api.citou.me/cd/content?key=SUA_CHAVE"

# Ideal no servidor / tempo de build
curl "https://api.citou.me/cd/content" -H "x-api-key: SUA_CHAVE"

JavaScript

const base = "https://api.citou.me";
const key = process.env.CITOU_KEY;

// via header (recomendado no servidor)
const res = await fetch(`${base}/cd/content`, {
  headers: { "x-api-key": key },
});
const items = await res.json();

CORS

Os endpoints de leitura respondem com Access-Control-Allow-Origin: *, então você pode chamá-los direto do navegador. Para o envio de formulários (POST /cd/forms/:formKey), o preflight também é liberado — veja Formulários.

Respostas de erro

401 · Unauthorized

Chave ausente ou inválida.

404 · Not Found

Recurso inexistente (ex.: slug não publicado).