A API pública da SuperSign permite criar, configurar, enviar e acompanhar envelopes de assinatura eletrônica diretamente pelo seu sistema.Nova integração: use exclusivamente os endpoints /v4/api/*. Produção e Sandbox executam o mesmo contrato de API; o que muda é o ambiente, a chave e os efeitos externos.
Ambientes#
| Ambiente | URL base | Chave | Validade jurídica |
|---|
| Produção | https://api.sign.supersign.com.br | ss_live_... | Sim |
| Sandbox | https://api.sandbox.supersign.com.br | ss_test_... | Não |
Use o Sandbox durante o desenvolvimento e a homologação da sua integração. Documentos processados nesse ambiente recebem identificação de teste e não devem ser tratados como documentos válidos de produção.Não misture ambientes: uma chave ss_test_... deve ser enviada somente ao host do Sandbox, e uma chave ss_live_... somente ao host de Produção.Autenticação#
Envie a chave em todas as requisições no header Authorization:No Sandbox, substitua a chave pelo formato ss_test_... e use a URL base do Sandbox.A chave de API não é um JWT de sessão. Não envie x-account-id: a conta é definida pela própria credencial.Valide a integração antes de criar um envelope:Para testar no Sandbox, use o mesmo caminho no host https://api.sandbox.supersign.com.br com uma chave ss_test_....A resposta informa o ambiente, a conta, a integração e o usuário responsável.Quem a chave representa#
A API Key é um principal da conta inteira. Ela não herda a visibilidade de pastas do usuário que a criou.Somente o proprietário da conta ou um membro com a permissão explícita API_CREDENTIALS_MANAGE pode criar e administrar credenciais. As ações aparecem no histórico do envelope como API integração — nome da integração, com a credencial e o usuário responsável registrados de forma estruturada para auditoria. O segredo da chave nunca é gravado no histórico.Remover ou suspender o usuário responsável encerra a credencial de forma fail-closed. Rotacione a chave antes de remover esse usuário. A autorização continua vinculada à conta, ao recurso solicitado e aos direitos do plano.Idempotência#
As operações POST indicadas na referência exigem o header Idempotency-Key, com um valor único de 8 a 255 caracteres ASCII imprimíveis.Em uma repetição causada por timeout, reutilize a mesma chave somente se a requisição for exatamente a mesma. Resultados bem-sucedidos ficam disponíveis para replay por 24 horas.Fluxo de um envelope#
1.
Valide a chave com GET /v4/api/me.
2.
Crie o rascunho com POST /v4/api/envelopes/.
3.
Configure título, mensagem e prazo com PATCH /v4/api/envelopes/{envelopeId}/settings.
4.
Defina os participantes com PUT /v4/api/envelopes/{envelopeId}/participants.
5.
Registre o PDF com POST /v4/api/envelopes/{envelopeId}/documents.
6.
Envie o arquivo binário para a URL assinada retornada. O conteúdo do PDF não é enviado em Base64 para a API.
7.
Posicione os campos com PUT /v4/api/envelopes/{envelopeId}/documents/{documentId}/fields.
8.
Envie o envelope com POST /v4/api/envelopes/{envelopeId}/send.
9.
Consulte o estado com GET /v4/api/envelopes/{envelopeId}.
Enquanto um documento estiver em processamento, o envio pode responder 409 ENVELOPE_DOCUMENTS_NOT_READY. Aguarde e repita a mesma operação com a mesma Idempotency-Key.As rotas de coleção terminam com / no contrato atual. Preserve a barra final em /envelopes/, /folders/, /members/, /invites/ e /webhooks/.
APIs legadas#
As APIs /v2 e /v3 continuam atendendo integrações existentes com seus contratos atuais. Não inicie uma nova integração nelas.As chaves públicas ss_live_... e ss_test_... operam em /v4/api/*. Uma integração existente não migra apenas trocando o token: é necessário atualizar os endpoints e adaptar o fluxo de criação do envelope.Segurança#
Armazene a chave somente no servidor ou em um gerenciador de segredos.
Nunca exponha a chave em aplicações frontend, repositórios ou logs.
Não envie a chave em query string.
Revogue imediatamente qualquer chave exposta ou sem uso.
Não publique payloads, IDs ou exemplos extraídos de clientes reais.
Modificado em 2026-09-06 18:29:41