Guides
  1. Operação

Segurança

API Key

  • Armazene em variável de ambiente ou secret manager.
  • Nunca envie a chave para frontend, apps mobile, URLs ou query strings.
  • Não versionar a chave em Git.
  • Não colar a chave em tickets, chats públicos ou exemplos compartilhados.
  • Rotacione em /dashboard/keys após qualquer suspeita de vazamento.
  • Revogue chaves que não estejam em uso.
BUSCAPROCESSOS_API_KEY=bp_live_sua_chave_aqui
Nunca exponha sua API Key em aplicações frontend, repositórios públicos,
aplicativos distribuídos ao usuário ou código JavaScript executado no navegador.

Transporte

  • Use apenas HTTPS.
  • Host permitido da API pública: api.buscaprocessos.app.br.

Logs e observabilidade

  • Não registre a chave completa.
  • Prefira mascarar (bp_live_****).
  • Registre requestId / searchLogId em vez de credenciais.
  • Redija payloads jurídicos sensíveis conforme sua política interna e a LGPD.

Webhooks

  • Exija HTTPS no receptor.
  • Valide X-BuscaProcessos-Signature (HMAC-SHA256) quando o secret estiver configurado.
  • Opcionalmente valide o Bearer token configurado no painel.
  • Deduplique entregas.
  • Responda 2xx rápido e processe em fila.
  • Não logue o secret HMAC nem o token Bearer.

Conta e acesso ao painel

  • Confirme o e-mail da conta.
  • Proteja a senha do dashboard.
  • Use o login oficial: /dashboard/login ou /api-integracoes/entrar.
  • Revise dispositivos e acessos internos da equipe que possuem a API Key.

Certificados digitais

Se usar autos com certificado:

  • Envie certificado/senha apenas por HTTPS e server-side.
  • Nunca logue o arquivo, a senha ou o base64 do certificado.
  • Remova certificados que não sejam mais necessários.

Dados pessoais e LGPD

A API trabalha com dados processuais públicos. Mesmo assim:

  • defina finalidade e base legal no seu produto
  • minimize retenção
  • controle acesso interno
  • não trate o resultado como certidão oficial ou parecer jurídico

Checklist rápido

  • API Key só no backend
  • HTTPS em todas as chamadas
  • Tratamento de 401/403/429
  • Webhook com validação de assinatura
  • Idempotência no receptor
  • Rotação documentada no runbook do time
  • Sem fan-out acidental que multiplique custo e superfície de dados

Relacionados