Partner Sandbox: Como Validar a Integração de Fornecedores Antes da Produção

Passo a passo com as chamadas de API reais para dar a um parceiro externo um ambiente isolado, com token próprio, antes de liberar acesso à sua API de verdade.

O problema de dar acesso a fornecedor externo

Abrir sua API pra um parceiro, fornecedor ou integrador externo tem um dilema recorrente: ou ele testa direto na produção (arriscado), ou seu time monta um ambiente "de mentira" na mão pra cada novo parceiro (trabalhoso, e não escala). O Partner Sandbox do httpdrop resolve isso com um ambiente isolado por parceiro — token próprio, log separado, sem tocar em produção. Veja a visão geral do recurso se ainda não conhece.

Este artigo é o passo a passo técnico — as chamadas de API reais, não só o pitch.

Passo 1 — habilitar o sandbox no endpoint

Sandbox é por endpoint, e exige plano Pro ou superior (mesmo requisito do API Portal):

curl -X PATCH https://httpdrop.com/api/endpoints/SEU_ENDPOINT_ID/sandbox-enabled \
  -H "Authorization: Bearer SEU_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"enabled": true}'

Passo 2 — o parceiro se cadastra sozinho (self-service)

Com o sandbox ativo, o fornecedor se cadastra direto — sem você precisar criar a chave manualmente pra cada um:

curl -X POST https://httpdrop.com/api/sandbox/SEU_ENDPOINT_ID/signup \
  -H "Content-Type: application/json" \
  -d '{"name":"Maria Fornecedora","email":"maria@parceiro.com","company":"Parceiro LTDA","expiresIn":"30d"}'

{
  "ok": true,
  "token": "sbox_a1b2c3d4...",
  "expiresAt": "2026-09-19T00:00:00.000Z",
  "sandboxUrl": "https://httpdrop.com/sandbox/SEU_ENDPOINT_ID"
}

🔒

A chave só aparece uma vez nessa resposta — igual token de API. Rate limit de 5 cadastros/hora por IP evita abuso desse endpoint público. Expiração é sempre obrigatória (7, 30 ou 90 dias) — não existe chave de sandbox vitalícia.

Passo 3 — o parceiro usa o token dele

Com o token em mãos, o fornecedor acessa o portal do sandbox (sandboxUrl da resposta acima) e vê documentação viva com "testar agora" embutido. Pra consultar programaticamente só as próprias chamadas:

curl https://httpdrop.com/api/sandbox/SEU_ENDPOINT_ID/my-requests \
  -H "Authorization: Bearer sbox_a1b2c3d4..."

Essa rota devolve só as requisições feitas com aquele token específico — isolamento total, um fornecedor nunca vê tráfego de outro.

Gerenciando parceiros (lado do dono)

# Listar todos os fornecedores cadastrados nesse sandbox
curl https://httpdrop.com/api/sandbox/SEU_ENDPOINT_ID/partners \
  -H "Authorization: Bearer SEU_TOKEN"

# Revogar e emitir uma chave nova pro parceiro X (a antiga para de funcionar na hora)
curl -X POST https://httpdrop.com/api/sandbox/SEU_ENDPOINT_ID/partners/PARTNER_ID/regenerate \
  -H "Authorization: Bearer SEU_TOKEN" \
  -d '{"expiresIn":"30d"}'

O que o sandbox valida — e o que não valida

O sandbox prova que o fornecedor sabe chamar sua API no formato certo — request, headers, sequência de chamadas (combine com Response Sequences pra simular fluxos como login → token → confirmação). Ele não substitui um ambiente de homologação com dados e regras de negócio reais, nem testa carga ou comportamento do seu backend de produção — é a etapa antes dessas.

🚀

Próximo passo: toda requisição do parceiro conta no seu plano — sem conta separada por fornecedor. Veja os planos pra saber quantos sandboxes/parceiros cada um inclui.