> ## Documentation Index
> Fetch the complete documentation index at: https://docs.delfinance.com.br/llms.txt
> Use this file to discover all available pages before exploring further.

# Credenciais

> Visão geral de autenticação, mTLS e allowlist de IPs para as APIs da Delfinance

Para consumir as APIs da Delfinance, sua integração precisa passar por três camadas de segurança que funcionam juntas:

1. **Credenciais da API**: `x-delbank-api-key` e `x-delfinance-account-id`
2. **mTLS**: certificado do cliente para validar a identidade da conexão
3. **Allowlist de IPs**: IPs públicos fixos de saída aprovados pela Delfinance

<Note>
  Em Sandbox, as credenciais já permitem testar a integração. Em Produção, mTLS e allowlist de IPs passam a ser obrigatórios.
</Note>

## Credenciais da API

Use os headers abaixo para autenticar a organização e a conta que será usada na requisição.

* `x-delbank-api-key`: autentica a organização e a integração
* `x-delfinance-account-id`: identifica a conta acessada

```bash theme={null}
curl https://apisandbox.delbank.com.br/v1/accounts \
  -H "x-delbank-api-key: SUA_API_KEY" \
  -H "x-delfinance-account-id: SUA_ACCOUNT_ID"
```

## mTLS

O mTLS adiciona uma camada extra de segurança ao TLS, validando o certificado do cliente na conexão. Ele é obrigatório em Produção e ajuda a garantir que apenas clientes autorizados consigam se comunicar com a API.

Para detalhes sobre emissão, instalação, teste e ciclo de vida do certificado, acesse [mTLS](/iniciacao/mtls).

## Filtros de IPs

A allowlist de IPs restringe o tráfego de saída da sua infraestrutura a IPs públicos aprovados. Esse controle é importante em Produção para reduzir riscos de acesso não autorizado.

Para ver como funciona a configuração, os pré-requisitos e o checklist de implementação, acesse [Filtros de IPs](/iniciacao/filtros-ip).

## Resumo por ambiente

| Ambiente | Credenciais da API | mTLS | Allowlist de IPs |
| -------- | ------------------ | ---- | ---------------- |
| Sandbox  | Sim                | Não  | Não              |
| Produção | Sim                | Sim  | Sim              |

## Boas práticas

* armazene as chaves em cofres de segredos;
* nunca exponha credenciais em código, logs ou front-end;
* mantenha mTLS e IPs aprovados sempre atualizados;
* teste primeiro em Sandbox antes de habilitar Produção;
* use TLS 1.2 ou superior em todas as conexões.