Cada chave tem uma lista de permissões. Cada rota pede uma permissão, que aparece na Referência ao lado do endereço. Chave sem a permissão recebe 403 com code insufficient_scope e a lista do que falta em scopes — antes de o EduPay olhar se o registro existe.
Regras
- Leitura e escrita são separadas.
students:writenão incluistudents:read: marque as duas se a integração faz as duas coisas. - Dados que vêm junto pedem a permissão da área deles. Em
GET /enrollments?include=student,installments, o aluno exigestudents:reade as parcelas exigembilling:read. Assim, uma chave só de matrículas não vê CPF nem endereço. *libera tudo, inclusive o que surgir depois. Use só em integração própria da escola, bem guardada.GET /meresponde para qualquer chave.
Pacotes prontos
Na tela de criar chave há pacotes que já marcam as permissões certas:
- Somente leitura (relatórios, BI, ERP): consulta catálogo, alunos, matrículas e cobranças.
- Leitura e escrita (ERP, CRM, loja): tudo do pacote de leitura, mais cadastrar alunos, criar e cancelar matrículas, gerar 2ª via e o link do portal do aluno.
- Moodle (completo, somente SSO, somente bloco): as permissões do plugin do Moodle.
Avisos automáticos pela API (webhooks:manage) ficam de fora dos pacotes: marque quando o sistema for cadastrar o próprio endereço de aviso.