Em 2026-11-10 às 00:22 (UTC+8), a APIYI publicou um aviso de recuperação: o período de carência continua válido até 2027-12-31 às 23:59 (UTC+8). Agora você pode entrar no painel e vincular uma Passkey e a 2FA diretamente, sem precisar esperar 72 horas. A desativação dos tokens do sistema antigo está planejada para 2026-11-11 (UTC+8). A plataforma informou que decidirá se prorroga o prazo com base no uso. Até 2026-11-10, ainda não havia nenhum novo aviso confirmando que os tokens “foram desativados” ou que o prazo “foi prorrogado”.
Antes de começar, entenda a diferença entre os três tipos de credencial para não se confundir nas etapas seguintes. Para entrar no site, use senha, Passkey e 2FA; para invocar modelos, use a chave do modelo, que começa com sk-; e, para consultar saldo e registros ou gerenciar chaves por meio de scripts, use o token de acesso pessoal, que começa com nap_. Essas credenciais não são intercambiáveis. Neste artigo, vou mostrar como configurar cada uma, seguindo a ordem em que aparecem na página do perfil.
Pontos principais sobre Passkey, 2FA e tokens da APIYI
A tabela abaixo é a base deste artigo. Sempre que surgir alguma dúvida, volte a ela para confirmar qual credencial você está usando.
| Credencial | Como é | O que permite fazer | O que não permite fazer | Onde gerenciar |
|---|---|---|---|---|
| Autenticação de login (senha, Passkey, 2FA, GitHub) | Impressão digital, reconhecimento facial, senha da tela de bloqueio ou código dinâmico de 6 dígitos | Proteger o login no painel e fazer uma nova verificação para operações confidenciais, como exportações | Não permite invocar modelos nem usar APIs de gerenciamento | Área pessoal |
| Chave de modelo (API Key) | Começa com sk- |
Invocar modelos como OpenAI, Claude e Gemini | Não protege o login; se for exposta, a 2FA não vai impedir seu uso indevido | Página de tokens |
| Token de acesso pessoal | Começa com nap_ |
Permitir que scripts consultem saldo e logs e gerenciem chaves de modelo | Não permite invocar modelos nem alterar a senha ou a verificação em duas etapas | Área pessoal → Opções da conta |
O endereço da área pessoal é https://api.apiyi.com/account/profile. Você também pode acessá-la pelo menu “Área pessoal”, no canto superior direito do site ou na navegação lateral. Todas as etapas de vinculação e criação começam nessa página.
Ainda aparece a espera de 72 horas? Como entender o Passkey e o 2FA da APIYI agora
A regra das 72 horas não foi cancelada; sua aplicação apenas está suspensa durante o período de flexibilização. Abaixo, separamos em quatro categorias o que consta na documentação oficial, os avisos da plataforma, a sequência de ações que podemos deduzir e o que não está documentado — para evitar tratar suposições como conclusões.
| Tipo de informação | Conteúdo |
|---|---|
| Regra original oficial | Contas que fazem login apenas com senha precisam permanecer estáveis por 72 horas na mesma sessão e no mesmo ambiente de login antes de vincular um método pela primeira vez. A troca de rede reinicia a contagem. |
| Aviso da plataforma (10-04) | De agora até 31/12/2027 às 23:59 (UTC+8), o período de flexibilização permite fazer a vinculação logo após o login. Logins de alto risco ainda são bloqueados conforme a regra original. |
| Aviso da plataforma (11-10) | Após a mudança de servidores em 6 de novembro, a política de flexibilização deixou de ser aplicada temporariamente no novo ambiente. A situação já foi normalizada. |
| Após o fim do período de flexibilização | A regra original volta a valer. Em um novo ambiente, contas que fazem login apenas com senha ainda precisam permanecer estáveis por 72 horas antes de adicionar um método de verificação. Os métodos já vinculados não são afetados. |
| O que não está documentado | A documentação não especifica como os logins de alto risco serão bloqueados após o fim do período de flexibilização, nem menciona avisos posteriores. |
Se você viu a mensagem “é necessário aguardar” depois de 6 de novembro, foi por causa da mudança de servidores, não por um problema na sua conta. Basta atualizar a página para tentar de novo. Ainda falta mais de um ano para o fim do período de flexibilização, mas recomendamos fazer a vinculação hoje. Assim, depois do fim de 2027, você não ficará preso às 72 horas ao fazer login em um novo ambiente.
🎯 Recomendação: a vinculação é feita enquanto você já está conectado e apenas adiciona um método de verificação. Ela não afeta seu saldo, as chaves dos modelos nem o histórico de chamadas. As chamadas de API da APIYI não serão interrompidas durante o processo.
Em que ordem configurar Passkey e 2FA na APIYI
A ordem recomendada oficialmente é configurar primeiro a Passkey e depois o 2FA como alternativa. Se você inverter a ordem, pode surgir um bloqueio, que explico na próxima seção.
Primeiro passo: configurar a Passkey da APIYI
Acesse sua área pessoal, role até o fim da página e, em “Opções da conta”, clique em Configurar Passkey. O navegador abrirá uma janela do sistema perguntando onde salvar a chave de acesso de apiyi.com. Antes de continuar, confira se o domínio exibido está correto. Se não estiver, não prossiga.
Depois de escolher onde salvar a chave, confirme com sua impressão digital, reconhecimento facial ou senha de bloqueio da tela. Quando a configuração for concluída, o botão mudará para Remover Passkey, e o horário do último uso aparecerá ao lado. Na próxima vez que abrir a página de login, você poderá escolher entrar com a Passkey.
O local escolhido determina se a chave poderá acompanhar você ao trocar de dispositivo. Use a tabela abaixo como referência:
| Local de armazenamento | Ideal para | Sincronização |
|---|---|---|
| Chaves do iCloud | Mac, iPhone e iPad | Sincroniza entre seus dispositivos Apple |
| Gerenciador de senhas do Google | Chrome e Android | Sincroniza entre dispositivos |
| Celular, tablet ou chave de segurança | Login temporário em um computador de outra pessoa: escaneie o código no computador e confirme pelo seu celular | A chave fica no celular ou na chave de segurança |
| Perfil do navegador neste dispositivo | Uso apenas nesta máquina | Não sincroniza; você perderá a chave se trocar de computador ou reinstalar o sistema |
Vale esclarecer alguns pontos sobre Passkeys. Elas usam WebAuthn / FIDO2. A chave privada fica apenas no dispositivo ou no gerenciador de senhas; o servidor armazena somente a chave pública, que não permite deduzir a chave privada. A impressão digital e o reconhecimento facial são verificados localmente e não são enviados. A Passkey não pode ser usada para criar uma conta nova nem substitui a senha. Depois de configurá-la, você ainda poderá entrar com senha ou pelo GitHub. Além disso, não configure uma Passkey em um computador público.
Segundo passo: configurar o 2FA e guardar os códigos de recuperação
Ainda na área pessoal, encontre a seção de 2FA, na parte inferior da página. Use o Google Authenticator, o Microsoft Authenticator ou outro autenticador compatível com TOTP para escanear o código QR. Depois, digite o código dinâmico de 6 dígitos, que é atualizado a cada 30 segundos.
Após a configuração, a página exibirá códigos de recuperação: salve-os. Se trocar de celular, perder o dispositivo ou apagar o autenticador por engano, você poderá usar esses códigos para voltar a entrar na conta. Não deixe uma captura de tela apenas no celular em que instalou o autenticador. Em vez disso, salve os códigos no gerenciador de senhas de outro dispositivo ou anote-os em papel e guarde-os em um lugar seguro.
Depois de concluir a configuração, o site poderá solicitar um código dinâmico do 2FA ou a verificação da Passkey para entrar, criar uma API KEY, exportar dados e realizar outras operações sensíveis. Isso é uma verificação de segurança normal, não um erro.
O que fazer quando não dá para vincular uma Passkey ou 2FA à APIYI e aparece “Falha ao salvar o estado de verificação”
Problema 1: A página continua dizendo que é preciso aguardar
O período de tolerância é liberado com base na sessão de login. Algumas sessões iniciadas há mais tempo já tinham sido marcadas para exigir uma nova verificação e não são liberadas automaticamente. Repetir o processo nessa mesma sessão só vai continuar exibindo o aviso para aguardar. Siga estes passos:
- Atualize a página e tente novamente.
- Se o aviso continuar, saia da conta e faça login novamente para gerar uma nova sessão.
- Aguarde cerca de um minuto para o sistema liberar o acesso. Depois, atualize a página de configurações da conta e tente vincular novamente.
- Se ainda não funcionar, use uma versão atualizada do Chrome, Edge ou Safari e confirme se o dispositivo tem uma senha de bloqueio de tela ou autenticação biométrica configurada.
Além disso, alguns navegadores integrados a aplicativos não oferecem suporte a WebAuthn. Ao tocar em “Vincular Passkey”, talvez nem apareça uma janela. Nesse caso, faça o processo pelo navegador do sistema.
Problema 2: Você vinculou o 2FA primeiro e, ao tentar vincular a Passkey, aparece “Falha ao salvar o estado de verificação”
Depois de vincular o 2FA, o sistema exige que você verifique novamente o estado do login atual. Se tentar vincular a Passkey sem fazer isso, aparecerá a mensagem “Falha ao salvar o estado de verificação”. Para resolver, saia da conta e faça login novamente usando senha + código dinâmico do 2FA. Depois, volte ao fim da página do perfil e toque em “Vincular Passkey”.
Contas criadas com o cadastro rápido do GitHub devem fazer login pelo GitHub; não é necessário definir uma senha separada. Seja qual for o tipo de conta, recomendamos manter uma alternativa de login, como senha, e-mail de cadastro ou GitHub. Não dependa apenas da Passkey de um único dispositivo.
💡 Dica: Vincular uma Passkey altera os métodos de verificação. A documentação oficial informa: “Qualquer alteração de senha, verificação em duas etapas ou chave de acesso revoga todos os tokens de acesso pessoal”. Se seus scripts de gerenciamento começarem a retornar 401 depois da vinculação, volte ao perfil, crie novos tokens de acesso pessoal e substitua os antigos. A invocação do modelo não será afetada.
Como diferenciar as chaves de modelo, os tokens de acesso pessoal e os tokens legados do sistema da APIYI
As chaves de modelo (sk-) são gerenciadas na página de tokens https://api.apiyi.com/token e servem para invocar modelos. Você pode criar quantas quiser. Os tokens de acesso pessoal (nap_) ficam nas opções da conta, na área pessoal, e servem para acessar as interfaces de gerenciamento. Cada conta pode ter até 20. Os tokens legados do sistema são credenciais antigas para acessar essas interfaces e serão substituídos pelos tokens de acesso pessoal.
| Item de comparação | Token legado do sistema | Token de acesso pessoal |
|---|---|---|
| Permissões | Tem todas as permissões da conta | Selecione conforme necessário; as permissões de leitura, escrita e visualização de chaves são independentes |
| Quantidade | 1 por conta | Até 20 |
| Validade | Não expira | 30 dias por padrão; você pode escolher 90, 180 ou 365 dias, definir um prazo personalizado ou não definir data de expiração |
| Lista de permissões de IP | Não disponível | Compatível com IPv4, IPv6 e CIDR; não pode ser alterada após a criação |
| Prefixo | Não tem prefixo fixo | nap_ |
| Status | Desativação prevista a partir de 2026-11-11 (UTC+8) | Recomendado atualmente |
Substitua os scripts de gerenciamento por tokens de acesso pessoal da APIYI
- Abra a central do usuário, acesse Tokens de acesso pessoal nas opções da conta e clique em Criar token, no canto superior direito.
- Escolha um nome de acordo com a finalidade, como “Script de conciliação” ou “Monitoramento de saldo”. Recomendamos definir uma validade mais longa, como 365 dias.
- Deixe a lista de permissões de IP vazia por enquanto (isso significa que não haverá restrições) e marque apenas as permissões necessárias para o script.
- Depois de clicar em Criar token, copie e salve o token imediatamente. Em seguida, substitua o valor antigo pela nova chave nas variáveis de ambiente ou na configuração do script.
Não é preciso alterar o endereço da API nem o código. O endereço-base continua sendo https://api.apiyi.com. No cabeçalho Authorization, informe o próprio token, com ou sem o prefixo Bearer.
Marque as permissões conforme as APIs usadas. Conceder permissões demais aumenta o risco:
- Consulta de saldo
GET /api/user/self: marque “Perfil pessoal · Leitura”. - Consulta de logs
GET /api/log/self: marque “Uso e registros pessoais · Leitura”. - Listar ou consultar chaves de modelo: marque “Chaves de modelo · Leitura”; para criar, alterar ou excluir, marque “Chaves de modelo · Escrita”; para obter o texto simples da chave, marque “Chaves de modelo · Visualizar chave”.
A permissão de escrita não permite leitura, e a permissão de leitura não dá acesso ao texto simples da chave. Operações como alterar a senha e configurar a verificação em duas etapas não podem ser feitas com o token, mesmo que ele tenha permissão de escrita. Para isso, ainda é necessário entrar pelo site.
Depois de confirmar que o script está funcionando, crie um novo token definitivo com uma lista de permissões de IP. Informe os IPs públicos de saída dos servidores de produção, dos servidores de reserva e de outros ambientes. Separe vários endereços com vírgulas. Depois de substituir o token pelo definitivo, exclua o token de teste sem restrição de IP. Use um token por script: se algum vazar, basta excluir aquele token.
🚀 Recomendação de migração: O mais seguro é fazer a substituição na APIYI antes da data prevista para a desativação, em 2026-11-11. A documentação ainda não informa se a desativação será realmente realizada nessa data nem se haverá uma prorrogação temporária. Não conte com uma prorrogação de última hora.
O que fazer primeiro se uma chave da APIYI vazar ou um script retornar 401
Vazamento de chave do modelo: primeiro desative, depois investigue
O limite máximo de uso de uma chave do modelo é o saldo da conta. Se ela vazar, o primeiro passo é acessar https://api.apiyi.com/token e excluir ou desativar esse token. Essa é a única ação que interrompe o prejuízo imediatamente, então faça isso antes de investigar. Em seguida, crie um novo token: desative o limite ilimitado, defina um limite de autorização e, se necessário, marque “Ativar opções avançadas” para configurar a lista de permissões de IP e os modelos disponíveis. Depois, atualize a configuração do aplicativo. Por fim, confira os logs de chamadas em busca de modelos desconhecidos, volume anormal de chamadas ou atividade em horários inesperados. Remova também a chave vazada do código, da documentação, das capturas de tela e do histórico de conversas.
Se você já colocou a chave no Railway e ainda não a substituiu, desative a antiga, crie uma nova e atualize as variáveis de ambiente antes de fazer uma nova implantação. Se nunca usou o Railway, não precisa trocar a chave por causa deste aviso.
Se o script retornar 401 ou 403: confira a mensagem de erro
| Código de status | Mensagem | Causa | Solução |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
Você ainda está usando um token do sistema antigo, que já passou da data de desativação | Crie um token de acesso pessoal e use-o no lugar do antigo |
| 401 | This access token may not be used from the current IP address. |
O IP de origem não está na lista de permissões | Não é possível alterar a lista; crie um novo token |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
A permissão correspondente não foi marcada | Crie um novo token e marque as permissões necessárias |
| 401 | A mensagem apenas informa que o token é inválido | O token expirou ou foi excluído, ou a senha, a verificação em duas etapas ou a chave de acesso foi alterada | Acesse a central da conta e crie um novo token |
Prevenir esses problemas no dia a dia é bem mais fácil do que corrigi-los depois. Desative o limite ilimitado das chaves do modelo usadas em testes, defina um limite recomendado de US$ 5 a US$ 50 e configure uma data de expiração. Use chaves separadas para produção e testes. Nunca coloque chaves reais no código ou no Git e, em capturas de tela compartilhadas, use placeholders como sk-your-api-key.
Perguntas frequentes (FAQ)
Q1: Depois de configurar uma Passkey ou a autenticação de dois fatores (2FA) da APIYI, ainda posso entrar com a senha?
Sim. A verificação em duas etapas adiciona uma camada extra de segurança, mas não substitui a senha. O login pelo GitHub também continua disponível. Algumas ações podem exigir um código temporário ou a verificação da Passkey.
Q2: O que faço se perder meus códigos de recuperação da 2FA?
Se ainda conseguir entrar, acesse sua conta e configure a 2FA novamente. Depois, salve os novos códigos de recuperação. Se você perdeu os códigos e não consegue entrar na conta, entre em contato pelo e-mail [email protected]. Nossa equipe ajudará a desativar a 2FA após confirmar sua identidade.
Q3: Preciso configurar uma lista de IPs permitidos para o token de acesso pessoal quando uso a internet de casa?
Não é recomendável. O IP de saída da internet residencial ou da rede do escritório pode mudar. Se você configurar uma lista de IPs permitidos, poderá receber erros 401 de repente. Uma alternativa é usar apenas permissões de leitura e definir um prazo de validade mais curto.
Q4: Posso usar um token de acesso pessoal para invocar modelos?
Não. Para invocar modelos, continue usando uma chave de modelo que comece com `sk-` e preencha `base_url` com `https://api.apiyi.com/v1`. Os tokens `nap_` são usados apenas nos endpoints de saldo, logs e gerenciamento de tokens.
Q5: Posso alterar a lista de IPs permitidos de um token de acesso pessoal se preenchê-la incorretamente?
Não. Depois de criado, não é possível alterar a lista de IPs permitidos de um token de acesso pessoal. Você precisa criar outro token e excluir o antigo. A lista de IPs permitidos das chaves de modelo é configurada separadamente: você pode limpá-la temporariamente e preenchê-la de novo depois. Não confunda as duas configurações.
Q6: Minha Passkey continuará disponível se eu trocar de celular?
Depende de onde ela está salva. Passkeys armazenadas no iCloud Keychain ou no Gerenciador de Senhas do Google são sincronizadas. As que ficam apenas no perfil do navegador do dispositivo não são sincronizadas. Se perder o dispositivo, entre com a senha ou pelo GitHub, desvincule a Passkey antiga e configure uma nova no dispositivo novo.
Resumo: faça estas quatro coisas hoje
- Configure uma Passkey: vá até a parte inferior das opções da conta no perfil e selecione Configurar Passkey. Dê preferência a um local de armazenamento que sincronize seus dados.
- Configure a 2FA e salve os códigos de recuperação em outro lugar: não deixe os códigos de recuperação apenas no celular que tem o app autenticador.
- Desative o limite ilimitado dos tokens de teste: na página de tokens, defina um limite baixo para a chave de modelo usada em testes.
- Troque o token do script de gerenciamento por um token de acesso pessoal: substitua o antigo token do sistema por um token
nap_antes da data planejada para desativação, em 2026-11-11.
As quatro tarefas começam em https://api.apiyi.com/account/profile e podem ser concluídas em pouco mais de dez minutos. Depois disso, o login, a invocação do modelo e os scripts de gerenciamento usam credenciais diferentes. Se uma delas tiver algum problema, você só precisa lidar com aquela credencial.
Autor: equipe técnica da APIYI
Discussão técnica: para saber mais sobre contas e tokens, consulte as perguntas frequentes sobre segurança da conta e tokens de acesso pessoais na central de documentação em docs.apiyi.com
