Rotas e permissões
Referência de controle de acesso do ATLA Link, conferida em 11/11/2026 na versão publicada. As rotas abaixo são da API do ATLA Link, todas sob o caminho /api/.
Papéis
| Papel | Quem é | Alcance |
|---|---|---|
| Admin (admin ATLA) | Equipe da ATLA | Todas as subcontas; opera a conta raiz. |
| Master (responsável legal, aparece como Titular) | Dono de uma conta de pagamento | Só a própria conta. Sem conta aberta, só pode abrir a conta. |
| Operator (operador) | Membro da equipe do responsável legal | Só a conta do responsável legal. |
| Service (chave de API) | Outro sistema da ATLA | Escopo de integração; veja Integração. |
Regras gerais:
- Toda ação exige uma permissão; o que não está liberado é negado.
- Responsável legal e operador só enxergam dados da própria conta.
- Com a conta bloqueada, suspensa ou encerrada, ações de escrita são recusadas (exceto equipe, atividade, documentos e pedido de encerramento).
- Tentativas negadas entram na auditoria como NEGADO.
Permissões por papel
| Permissão | O que libera | Admin | Master | Operator | Service |
|---|---|---|---|---|---|
subaccounts.list_all | Listar todas as subcontas | ✔ | |||
subaccounts.create | Criar subconta / abrir a própria conta | ✔ | ✔ (só sem conta) | ✔ | |
subaccounts.read | Ver subconta e situação | ✔ | ✔ | ✔ | ✔ |
onboarding.read | Etapa da abertura de conta | ✔ | ✔ | ✔ | ✔ |
subaccounts.update | Editar dados da subconta | ✔ | ✔ | ||
subaccounts.documents | Enviar documentos da análise | ✔ | ✔ | ||
subaccounts.cancel_request | Pedir encerramento | ✔ | ✔ | ✔ | |
subaccounts.lifecycle | Bloquear, suspender, reativar | ✔ | |||
subaccounts.delete | Excluir subconta | ✔ | |||
customers.read / customers.write | Ver / criar e editar clientes | ✔ | ✔ | ✔ | |
customers.delete | Remover cliente | ✔ | ✔ | ||
payments.read / payments.write | Ver / criar e editar cobranças | ✔ | ✔ | ✔ | |
payments.delete | Cancelar cobrança | ✔ | ✔ | ||
payments.refund | Estornar cobrança | ✔ | ✔ | ||
payments.split | Cobrança com divisão de valores | ✔ | ✔ | ||
subscriptions.read / subscriptions.write | Ver / criar e editar assinaturas | ✔ | ✔ | ✔ | |
subscriptions.delete | Cancelar assinatura | ✔ | ✔ | ||
transfers.read | Ver Pix e TED enviados | ✔ | ✔ | ✔ | |
transfers.write | Enviar e cancelar Pix e TED | ✔ | ✔ | ||
statement.read | Extrato e relatório | ✔ | ✔ | ✔ | |
team.manage | Equipe / usuários | ✔ | ✔ (só operadores) | ||
users.manage | Trocar papel e conta vinculada | ✔ | |||
audit.read | Auditoria / atividade | ✔ | ✔ (só a própria conta) | ||
webhooks.read / webhooks.manage | Ver / reprocessar eventos | ✔ | |||
checkout.read / checkout.write | Checkout do marketplace | ✔ | ✔ | ||
platform.read | Dados da conta raiz | ✔ | ✔ |
Rotas da API, permissão e tela
| Rota | Permissão | Tela |
|---|---|---|
POST auth/login, auth/register, auth/refresh; GET auth/config | pública | Entrar, Criar conta |
POST auth/forgot-password, auth/reset-password | pública | Recuperar a senha |
GET auth/me; POST auth/logout | autenticado | menu e sessão |
POST auth/password; auth/2fa… | autenticado (não chave de API) | Meu perfil e segurança |
auth/api-keys… | só admin | Chaves de API |
GET/POST onboarding/ | onboarding.read / subaccounts.create | Abrir a conta |
GET subaccounts/ | subaccounts.list_all (admin) ou subaccounts.read | Subcontas, Minha conta |
POST subaccounts/ | subaccounts.create | sem tela (integração) |
GET subaccounts/{id}/, …/status/, …/onboarding/, …/documents/, …/lifecycle/ | subaccounts.read | Subcontas, Minha conta |
PUT subaccounts/{id}/ | subaccounts.update | sem tela |
POST subaccounts/{id}/documents/{docId}/ | subaccounts.documents | Abrir a conta, Subcontas |
POST subaccounts/{id}/cancellation/ | subaccounts.cancel_request | Subcontas (admin) |
POST subaccounts/{id}/lifecycle/ | subaccounts.lifecycle | Subcontas |
DELETE subaccounts/{id}/ | subaccounts.delete | Subcontas |
customers/… | customers.* | Clientes |
payments/… (inclui details/, refund/, capture/, splits e documentos) | payments.* | Cobranças, Transações e estornos |
subscriptions/… (inclui payments/) | subscriptions.* | Assinaturas |
GET pix/limits/, GET pix/transfers/ | transfers.read | Pix e TED, Transferências |
POST pix/transfers/, POST pix/transfers/{id}/cancel/ | transfers.write + senha (e 2FA) | Pix e TED, Transferências |
GET statement/ (inclui relatório CSV) | statement.read | Extrato |
team/… | team.manage (+ users.manage para papel e conta) | Equipe, Usuários |
GET audit/events/ (inclui CSV) | audit.read | Atividade, Auditoria |
GET webhook/events/…, POST …/reprocess/ | webhooks.read / webhooks.manage | Webhooks |
POST checkout/charges/, GET checkout/charges/{id}/ | checkout.write / checkout.read | sem tela (Checkout) |
GET account/main/ | platform.read | sem tela (Conta raiz) |
O recebimento de eventos do Asaas usa rotas próprias, autenticadas pelo Asaas; veja Eventos.
Diferenças entre a tela e a permissão
- O operador vê Pix e TED e os atalhos de envio, mas só consulta: enviar exige
transfers.write. - O operador vê Enviar arquivo na abertura de conta, mas o envio é recusado: exige
subaccounts.documents. - O responsável legal tem
subaccounts.updateesubaccounts.cancel_request, mas não há tela para editar a conta nem pedir o encerramento. payments.splitexiste, mas a tela de cobranças não oferece divisão de valores.