Cada clave tiene una lista de permisos. Cada ruta pide un permiso, que aparece en la Referencia junto a la dirección. Una clave sin el permiso recibe 403 con code insufficient_scope y la lista de lo que falta en scopes — antes de que EduPay verifique si el registro existe.
Reglas
- Lectura y escritura están separadas.
students:writeno incluyestudents:read: marque los dos si la integración hace las dos cosas. - Los datos que vienen incluidos piden el permiso de su área. En
GET /enrollments?include=student,installments, el alumno exigestudents:ready las cuotas exigenbilling:read. Así, una clave solo de matrículas no ve el CPF (documento fiscal de persona física en Brasil) ni la dirección. *libera todo, incluso lo que surja después. Úselo solo en una integración propia de la escuela, bien protegida.GET /meresponde a cualquier clave.
Paquetes listos
En la pantalla de crear clave hay paquetes que ya marcan los permisos correctos:
- Solo lectura (informes, BI, ERP): consulta catálogo, alumnos, matrículas y cobros.
- Lectura y escritura (ERP, CRM, tienda): todo lo del paquete de lectura, más registrar alumnos, crear y cancelar matrículas, generar la segunda copia y el enlace del portal del alumno.
- Moodle (completo, solo SSO, solo bloque): los permisos del plugin de Moodle.
Los avisos automáticos por la API (webhooks:manage) quedan fuera de los paquetes: márquelo cuando el sistema vaya a registrar su propia dirección de aviso.