--- type: Concept title: "O que é uma API e Como Ela Conecta Seus Sistemas" description: "API (interface de programação de aplicações) é o conjunto de regras que permite que dois sistemas conversem, como um tradutor entre programas." resource: https://felipecferreira.com.br/biblioteca/o-que-e-uma-api/ generated: { by: process:okf-bridge, at: 2026-10-16T15:51:39Z } published_at: 2024-07-28T22:40:00Z modified_at: 2026-10-16T15:51:39Z status: stable sources: - id: canonical-html resource: https://felipecferreira.com.br/biblioteca/o-que-e-uma-api/ title: "Página oficial em HTML" last_modified: 2026-10-16T15:51:39Z --- # O que é uma API e Como Ela Conecta Seus Sistemas ## TL;DR API (interface de programação de aplicações) é o conjunto de regras que permite que dois sistemas conversem, como um tradutor entre programas. Aqui mostramos como as APIs dão acesso a modelos de IA, a diferença entre token de acesso e token de linguagem, autenticação, limites de requisição e preço, com exemplos práticos. **Resposta direta:** API (Application Programming Interface, ou Interface de Programação de Aplicações) é o conjunto de regras que permite que um sistema peça algo a outro e receba uma resposta, sem precisar saber como o outro funciona por dentro. É por API que o seu site conversa com o CRM, que uma automação chama um modelo de IA e que um agente de IA executa tarefas. ## O que é uma API Uma API define o que pode ser pedido, em que formato e o que volta como resposta. Em termos simples, ela funciona como um tradutor combinado entre dois programas: cada lado segue as mesmas regras, e por isso eles se entendem. Na prática, isso permite integrar recursos prontos (pagamento, mapa, envio de e-mail, modelos de IA) sem construir tudo do zero. ## Como funciona uma chamada de API * **Solicitação:** o aplicativo pede uma operação específica. * **Endpoint:** o endereço (URL) que recebe aquele pedido. Cada endpoint corresponde a uma função ou recurso da API. * **Método:** a ação pedida, como GET (ler dados), POST (enviar dados), PUT (atualizar) e DELETE (remover). * **Resposta:** o que o servidor devolve, com um código de status (sucesso ou erro) e os dados pedidos. Um exemplo do dia a dia: o WordPress tem uma REST API nativa. É por ela que ferramentas externas leem e publicam conteúdo no site, e é por isso que protocolos antigos, como o XML-RPC, deixaram de ser necessários na maioria dos casos. Eu explico esse risco em [o XML-RPC pode ser um risco no WordPress](https://felipecferreira.com.br/biblioteca/o-xml-rpc-pode-ser-um-risco-no-wordpress/). ## API, Webhook e Chave SSH: qual a Diferença Os três aparecem juntos em qualquer integração, mas fazem coisas diferentes: * **API:** o seu sistema *pede* e o outro executa: ler, criar, atualizar ou apagar dados. O pedido sempre passa pelo endpoint e só vai até onde as permissões da chave deixam. Quem chama nunca mexe direto no banco de dados do outro sistema. E muita chamada de API só lê, sem alterar nada. Exemplo: o site consulta o status de um pagamento. * **Webhook:** é um aviso automático. Quando um evento acontece, o sistema de origem envia um payload (os dados do evento) para uma URL que você cadastrou, e o papel dele termina aí. Quem recebe decide o que fazer, e pode disparar uma ação do próprio lado. Exemplo: o gateway de pagamento avisa o CRM que a compra foi aprovada, e o CRM libera o acesso do cliente. Se quem recebe responde com HTTP 200, isso só confirma que o aviso chegou, não que ele foi processado. * **Chave SSH:** não é API. É um par de chaves (uma pública, uma privada) que autentica uma pessoa ou um sistema para acessar um servidor pela linha de comando, sem senha digitada. Serve para administrar o servidor, não para integrar aplicações. **Na API, um sistema pede e o outro executa. No webhook, um sistema avisa e o outro decide o que fazer com o aviso.** ## APIs e Inteligência Artificial Os provedores de IA oferecem seus modelos por API. Assim, um site, um app ou uma automação pode usar reconhecimento de fala, geração de texto, visão computacional e [machine learning](https://felipecferreira.com.br/biblioteca/machine-learning/) sem treinar nenhum modelo internamente. Se a base ainda não está clara, vale começar por [o que é Inteligência Artificial](https://felipecferreira.com.br/biblioteca/o-que-e-inteligencia-artificial/) e por [o que são LLMs](https://felipecferreira.com.br/biblioteca/o-que-sao-llms-large-language-models/). ## Segurança: Autenticação e Autorização Autenticação confirma quem está pedindo. Autorização define o que esse sistema pode fazer depois de autenticado. Os padrões mais comuns são: * **API key (chave de API):** uma chave única que identifica quem chama a API. * **OAuth 2.0:** protocolo que permite autorizar um aplicativo a acessar seus recursos sem entregar a sua senha a ele. * **JWT (JSON Web Token):** formato compacto para transmitir informações assinadas entre as partes, muito usado em autenticação. **Não compartilhe o seu token de acesso.** Um token vazado permite que outra pessoa use a sua conta: gasta os seus créditos, acessa dados seus e de clientes e pode gerar problema jurídico. Guarde chaves em variáveis de ambiente ou num cofre de senhas, nunca no código público nem em print. ## Token de Acesso não é Token de Texto A palavra é a mesma, mas os conceitos são diferentes. O token de acesso é a credencial da API. O token de texto é a unidade em que um modelo de linguagem divide o texto para processar, e é por ele que muitos provedores de IA cobram. Eu detalho esse segundo tipo em [tokens em modelos de linguagem](https://felipecferreira.com.br/biblioteca/o-que-sao-tokens/). ## Limites de Uso e Custo APIs costumam ter limite de requisições por período (por minuto ou por dia). Quando o limite estoura, a resposta comum é o código HTTP 429 (Too Many Requests), e a integração precisa saber esperar e tentar de novo. Em APIs de IA, o custo costuma crescer com o volume de requisições, com a quantidade de tokens processados e com o modelo escolhido. Por isso, antes de integrar, faça a conta fechar: o ROI considera o tempo, o capital, as ferramentas, as assinaturas e as pessoas envolvidas, e não só o preço por chamada. ## Casos Práticos * **Atendimento:** o formulário do site envia o contato para o CRM e para o WhatsApp da equipe. * **Pagamento:** quando a compra é aprovada, o gateway envia um webhook para o CRM com o valor, o ID da transação e a moeda. O CRM confere o aviso e libera o acesso do cliente, sem ninguém copiar dado à mão. * **Automação com IA:** uma automação na nuvem chama um modelo de linguagem para classificar ou responder mensagens. Para rodar isso com estabilidade, veja [VPS para automação com IA](https://felipecferreira.com.br/biblioteca/vps-para-automacao-com-ia/). * **Gestão de ficha local:** a API do Perfil da Empresa no Google (Google Business Profile) gerencia fichas em lote, mas não é SEO do site, como explico em [WordPress e Google Business Profile](https://felipecferreira.com.br/biblioteca/wordpress-google-business-profile/). * **Base de conhecimento para agentes:** antes de responder, um agente de IA consulta por API um banco vetorial, como o Supabase, e busca os trechos de documentos mais próximos da pergunta. Banco vetorial no Supabase é um tema que eu ainda vou aprofundar aqui. * **Troca de assistente de IA:** levar o histórico de conversas de um assistente para outra ferramenta depende do que cada provedor permite exportar, seja em arquivo, seja por API. A portabilidade de dados entre assistentes de IA também vai ganhar um conteúdo próprio por aqui. ## Onde eu Uso APIs na Prática No meu trabalho, APIs e webhooks aparecem o tempo todo. Já integrei a REST API do WordPress e APIs e webhooks de pagamento do Stripe, do Mercado Pago e do PagSeguro, para que a venda aprovada chegue ao sistema certo sem ninguém copiar dado à mão. O cuidado que eu levo de um projeto para o outro é o mesmo: cada chave guardada fora do código, com a menor permissão possível, e o webhook conferido antes de confiar no aviso. É o que diferencia uma integração que funciona de uma que só parece funcionar. ## APIs e Agentes de IA Um [agente de IA](https://felipecferreira.com.br/biblioteca/o-que-sao-agentes-de-ia/) só age no mundo real por meio de APIs: é assim que ele lê uma planilha, cria um rascunho no WordPress ou consulta um CRM. Para quem usa agentes como apoio, três cuidados práticos: * dê ao agente uma chave só com as permissões que ele precisa (ler em vez de escrever, quando possível); * mantenha aprovação humana antes de ações que não têm volta, como publicar, enviar ou apagar; * registre o que o agente chamou, para conseguir auditar e desfazer. ## Considerações Finais API é a peça que conecta site, CRM, pagamento, automações e IA. Entender o básico (endpoint, método, autenticação, limites e custo) evita integração frágil, chave vazada e conta que não fecha. É o tipo de base que eu organizo na minha área de [Tecnologia Aplicada](https://felipecferreira.com.br/tecnologia-aplicada/). **No topo desta página existe um botão com a opção de download de todo o conteúdo em markdown**, para que você possa utilizar como referência no trabalho com seu agente de IA. O download é gratuito, não pede cadastro, não pede e-mail e você não entra em nenhuma lista. É um conteúdo 100% público, para qualquer pessoa acessar e baixar. ## Perguntas frequentes ### O que é uma API, em uma frase? É o conjunto de regras que permite que um sistema peça algo a outro e receba uma resposta, sem precisar saber como o outro funciona por dentro. ### Qual a diferença entre token de acesso e token de texto? O token de acesso é a credencial que autentica quem chama a API. O token de texto é a unidade em que um modelo de linguagem divide o texto para processar, e costuma ser a base de cobrança das APIs de IA. ### O que acontece se o meu token de API vazar? Outra pessoa pode usar a sua conta: gastar créditos, acessar dados e agir em seu nome. Revogue a chave no painel do provedor, gere uma nova e troque nas integrações. ### O que significa o erro 429 numa API? Que você passou do limite de requisições do período. A integração deve esperar e tentar de novo, em vez de repetir a chamada sem parar. ### Agentes de IA precisam de API? Sim. É por API que o agente lê e grava dados em outros sistemas. Por isso vale dar a ele só as permissões necessárias e manter aprovação humana nas ações sem volta. ## Referências [WordPress Developer Resources: REST API Handbook](https://developer.wordpress.org/rest-api/) [MDN Web Docs: métodos de requisição HTTP](https://developer.mozilla.org/pt-BR/docs/Web/HTTP/Reference/Methods) [MDN Web Docs: 429 Too Many Requests](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Status/429) [IETF RFC 6749: The OAuth 2.0 Authorization Framework](https://www.rfc-editor.org/info/rfc6749/) [IETF RFC 7519: JSON Web Token (JWT)](https://www.rfc-editor.org/info/rfc7519/) [Google Cloud: APIs de IA](https://cloud.google.com/ai/apis) [IBM Cloud: documentação da API watsonx.ai](https://cloud.ibm.com/apidocs/watsonx-ai) [OpenAI: API Overview (OpenAI API Reference)](https://developers.openai.com/api/reference/overview) [Stripe Docs: webhooks](https://docs.stripe.com/webhooks) [Mercado Pago Developers: webhooks](https://www.mercadopago.com.br/developers/pt/docs/your-integrations/notifications/webhooks) ## Related concepts * [Machine Learning](https://felipecferreira.com.br/okf/concepts/machine-learning.md) * [O que é Inteligência Artificial?](https://felipecferreira.com.br/okf/concepts/o-que-e-inteligencia-artificial.md) * [O que São LLMs (Large Language Models)?](https://felipecferreira.com.br/okf/concepts/o-que-sao-llms-large-language-models.md) * [Tokens em Modelos de Linguagem (LLMs) e IA](https://felipecferreira.com.br/okf/concepts/o-que-sao-tokens.md) * [VPS para Automação com IA](https://felipecferreira.com.br/okf/concepts/vps-para-automacao-com-ia.md) * [O que são Agentes de IA?](https://felipecferreira.com.br/okf/concepts/o-que-sao-agentes-de-ia.md)