Desenvolvedores

Infraestrutura API-first para fintechs brasileiras.

Construa com as APIs Swepay. Certificados mTLS hoje, identidade e passwordless a caminho. REST, JSON, JWT, sa-east-1. Sem SDK lock-in, sem protocolos proprietários, sem piso enterprise.

Quickstart

Da assinatura ao primeiro certificado em cinco minutos.

Assine o CA Manager no AWS Marketplace, receba suas credenciais de tenant, inicialize sua CA, e emita o primeiro certificado, tudo via REST.

1. 1. Assine via AWS Marketplace

   Escolha o tier que cabe no seu volume. Você pode mudar de tier depois sem perder dados.

   Após a assinatura, você recebe o seu tenantId e um token JWT bearer pelo e-mail de boas-vindas do Marketplace. O JWT autentica todas as chamadas de API.

2. 2. Inicialize sua CA

   Setup único. Gera a Autoridade Certificadora raiz do seu tenant. A chave raiz fica em custódia criptográfica gerenciada dentro da infra Swepay, não extraível, não acessível a operadores em operação normal.

   bash

   curl -X POST https://ca.swepay.com.br/v1/ca/initialize \
     -H "Authorization: Bearer ${SWEPAY_JWT}" \
     -H "Content-Type: application/json" \
     -d '{
       "commonName": "Your Fintech Root CA",
       "organization": "Your Fintech S.A.",
       "country": "BR",
       "validityYears": 10
     }'

3. 3. Emita o primeiro certificado

   Atributos de identidade entram, certificado mais chave privada saem, em quatro formatos de entrega na mesma resposta.

   bash

   curl -X POST https://ca.swepay.com.br/v1/certificates \
     -H "Authorization: Bearer ${SWEPAY_JWT}" \
     -H "Content-Type: application/json" \
     -d '{
       "clientId": "partner_001",
       "commonName": "partner.example.com",
       "organization": "Partner Inc",
       "country": "BR",
       "validityDays": 365,
       "responseFormat": "Text",
       "passwordProtected": true
     }'

4. 4. Entregue o certificado ao seu parceiro

   Escolha o formato de entrega que cabe no runtime do parceiro. PEM para a maioria das stacks Unix/Linux. PFX (PKCS#12) com a senha gerada para Windows/.NET, keystores Java, ou mobile.

A partir daí, o ciclo de vida completo, consultar status, renovar, revogar, listar, monitorar expiração, são só mais chamadas de API. A referência completa está abaixo.

Arquitetura

Duas superfícies de API, separadas por propósito.

O CA Manager expõe duas superfícies de API distintas. Cada uma tem seu próprio domínio, seu próprio modelo de autenticação, sua própria estratégia de cacheamento. Essa separação importa quando você está operando PKI em escala de produção.

Indisponibilidade da API administrativa não quebra a validação de revogação no lado do parceiro. Os clientes mTLS dos seus parceiros continuam validando contra a CDN mesmo que a API de emissão esteja em manutenção. É assim que infraestrutura PKI deve ser construída.

Referência da API

Endpoints da API administrativa.

URL base: https://ca.swepay.com.br. Todas as chamadas autenticadas com Authorization: Bearer <JWT>. Content type: application/json. Erros seguem o formato RFC 7807 Problem Details.

Spec OpenAPI completo em ca.swepay.com.br/docs/openapi.json, carregue em Postman, Insomnia, Bruno ou qualquer ferramenta compatível com OpenAPI.

Infraestrutura PKI

Revogação e artefatos de confiança na CDN.

URL base: https://ca-cdn.swepay.com.br. Pública, sem autenticação. Cacheamento agressivo de borda com headers HTTP Last-Modified e ETag. Use esses endpoints a partir dos clientes mTLS dos seus parceiros, não do seu backend administrativo.

# Step 1: Fetch the CA cert
curl https://ca-cdn.swepay.com.br/v1/tenants/${TENANT_ID}/ca.pem > ca.pem

# Step 2: Validate a partner certificate via OCSP
openssl ocsp \
  -issuer ca.pem \
  -cert partner-cert.pem \
  -url https://ca-cdn.swepay.com.br/v1/tenants/${TENANT_ID}/ocsp \
  -resp_text

Autenticação

JWT bearer, por tenant.

A API administrativa usa tokens JWT bearer emitidos pelo identity provider da Swepay. Após a assinatura no AWS Marketplace, você recebe as credenciais do tenant e o JWT pelo e-mail de boas-vindas. Endpoints da infraestrutura PKI (CDN) não exigem autenticação.

Modelo de erro

RFC 7807 Problem Details, ponta a ponta.

Erros são retornados como application/problem+json conforme a RFC 7807. O HTTP status code reflete a classe do erro; o body traz detalhes legíveis por máquina.

HTTP/1.1 400 Bad Request
Content-Type: application/problem+json

{
  "type": "https://ca.swepay.com.br/errors/validation",
  "title": "Validation failed",
  "status": 400,
  "detail": "ValidityDays must be greater than 0",
  "errors": [
    { "field": "validityDays", "message": "Must be greater than 0" }
  ]
}

Por dentro

O que está rodando por trás da API.

Se você vai integrar com a gente, vai querer saber o que está alimentando as respostas que você recebe.

Construa com a Swepay.