Autenticação com OAuth 2

Duas formas de conectar

Quem se conecta	Como	O token
Seu sistema ou o n8n	Um «app privado»: quem tem Integrações no papel cria em Integrações › Para desenvolvedores e copia o ID e o segredo.	Você pede com client credentials. Dura uma hora.
Zapier, Make e outros apps	Conectam-se com «Permitir» no meruma: a pessoa escolhe a organização e aceita. Você os desconecta quando quiser, pelo meruma.	Código de autorização com PKCE. Dura uma hora e se renova sozinho.

Os tokens agem como a pessoa que conectou o app, só com as permissões que ele recebeu. Conecta apps quem tem Integrações no papel; os webhooks são de donos e administradores.

Pedir um token e usá-lo

curl -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d grant_type=client_credentials \
  https://api.meruma.app/oauth/token

A resposta traz access_token e expires_in (em segundos). Envie-o em cada requisição:

curl https://api.meruma.app/v1/contacts \
  -H "Authorization: Bearer $ACCESS_TOKEN"

Quando vencer, peça outro do mesmo jeito. Um token vencido ou revogado responde 401.

Permissões

Cada app pede só o que precisa.

Permissão	O que permite
contacts:read	Ler contatos e suas notas
contacts:write	Criar, atualizar e mandar contatos para a lixeira; adicionar notas
cards:read	Ler fichas, processos, etapas e suas notas
cards:write	Criar e atualizar fichas, movê-las de etapa, etiquetas e notas
webhooks:write	Assinar e cancelar webhooks

GET /v1/me, a lista de usuários e a de campos personalizados não pedem permissão: qualquer integração precisa delas para mapear campos e responsáveis.