Introdução

Base URL

Todas as requisições usam o domínio da sua instância HyzePay:

https://hyzepay.pro/api

Prefixo da API pública com API Key: /api/v1. Rotas de dashboard usam /api/… com sessão logada.

Autenticação

A API pública (PIX) exige a chave no header:

Authorization: Bearer hzp_live_SUA_CHAVE

# ou
X-API-Key: hzp_live_SUA_CHAVE

Requisições sem chave ou com chave inválida retornam 401 Unauthorized. Veja o guia Chaves de API.

Endpoints de dashboard (produtos, clientes, saques, etc.) usam a sessão do usuário logado (cookie). Saques e chaves exigem 2FA.

Formato de resposta

JSON (Content-Type: application/json). A API v1 devolve o recurso em chaves nomeadas (payment, etc.). Erros:

{
  "error": {
    "code": "invalid_amount",
    "message": "Informe amount_cents (>= 1) ou amount em reais.",
    "details": null
  }
}

Header de versão: X-HyzePay-API-Version: v1

Códigos de status HTTP

Permissões (API Key)

Paginação

Em GET /api/v1/payments use query params limit e cursor (quando suportado). Listagens de dashboard costumam devolver o array completo da conta.

Dicas gerais

• Nunca use a API Key no frontend — só no backend
• Prefira external_id para idempotência em pagamentos
• Confirme pagamentos com webhook payment.paid + validação HMAC
• Valores monetários na API v1 em centavos (amount_cents)

Recursos da referência