---
title: "Gerando seu token de acesso"
url: "https://devcenter.stone.com.br/conciliacao-gerando-seu-token-de-acesso"
image: "https://devcenter.stone.com.br/_og/d/c_Ocean.takumi,title_Gerando+seu+token+de+acesso,props_eyJ0aGVtZSI6eyJtb2RlIjoibGlnaHQiLCJjb2xvcnMiOnsicHJpbWFyeSI6IiMzMEE2NkQifX19,p_Ii9jb25jaWxpYWNhby1nZXJhbmRvLXNldS10b2tlbi1kZS1hY2Vzc28i,s_vzOuBGbPyz_fj4r9.png"
---

# Gerando seu token de acesso

Para realizar solicitações à API de conciliação, é obrigatório gerar um token de acesso que deve ser enviado no header `Authorization` de cada requisição.

### [Como obter o token de acesso](#como-obter-o-token-de-acesso)

Após receber as credenciais via webhook (consentimento do lojista), siga os passos abaixo:

1.  **Decripte a senha** recebida no webhook utilizando o algoritmo [AES CBC PKCS7](https://devcenter.stone.com.br/conciliacao-decriptando-senha).
2.  Realize uma requisição POST ao endpoint de autenticação, conforme exemplo:

```bash
curl --location 'https://payments.stone.com.br/auth/realms/payments/oauth/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'host: payments.stone.com.br' \
--data-urlencode 'username={given_username}' \
--data-urlencode 'password={given_password}' \
--data-urlencode 'grant_type=password' \
--data-urlencode 'client_id={given_client_id}' \
--data-urlencode 'client_secret={given_client_secret}'
```

-   **username**: Usuário recebido no webhook.
-   **password**: Senha decriptada do payload do webhook.
-   **client\_id** e **client\_secret**: Credenciais do parceiro (conciliadora).

### [Resposta](#resposta)

O endpoint retorna um **JWT** (Json Web Token) em casos de sucesso no payload de resposta seguindo contrato:

```json
{
    "id_token": "<token>",
    "expires_in": 86400,
    "token_type": "Bearer"
}
```

Em casos de erro na solicitação, a resposta seguirá padrão:

```json
{
    "message": "<message>",
    "errors": [
        {
            "field": "<username>",
            "reason": "<reason>"
        }
    ]
}
```

OBS: o campo errors é opcional.

O token deverá ser incluído nas próximas requisições via header conforme:

```text
Authorization: Bearer <token>
```

> **Atenção**: O token é válido por tempo limitado (24 horas). Sempre utilize um token válido para realizar as consultas na API. Recomenda-se realizar o cache baseado no tempo de expiração.

---

**Jornada: [Obter o consentimento e autenticar](https://devcenter.stone.com.br/conciliacao-pedido-de-consentimento)**  
Etapa 6 de 6

[**Etapa anterior**Consulta de identificadores do lojista](https://devcenter.stone.com.br/conciliacao-consulta-de-identificadores-do-lojista)

Siga a Stone nas redes sociais

[](https://www.facebook.com/stonepagamentos/)[](https://x.com/sejastone/)[](https://www.instagram.com/stone/)[](https://br.linkedin.com/company/stone-co)[](https://www.youtube.com/channel/UCk4L4JykgoDkN8YeuxkNqIQ)

© Stone Instituição de Pagamento S.A. CNPJ 16.501.555/0001-57

Av. Rebouças, 2880, 4º andar, Pinheiros, CEP 05.402-500 – São Paulo/SP

Instituição de pagamento autorizada pelo Banco Central do Brasil, nas modalidades de credenciadora e emissora de moeda eletrônica.