# Rotacionar token da inbox

POST /inbox/token/rotate

Troca o `token` de uma inbox: só com o `admintoken`, e a inbox pelo `inbox_id` no corpo.

**Funciona em dois passos:**

1. **Veja o que vai ser afetado.** Chame sem `confirm_impacts` (ou com `false`). Nada muda: a resposta é `409` e mostra, em `impacts` e `warnings`, o que a troca afeta nesta inbox.
2. **Confirme.** Chame de novo com `confirm_impacts: true`. O token troca e a resposta `200` traz o novo `token`.

**O que a troca afeta** (em `impacts`, cada item vem `true` quando vale para esta inbox):

| Campo | Quando vem `true` | O que fazer |
|---|---|---|
| `chatwoot_reconfigure_requested` | A inbox tem o Chatwoot ligado. | Nada: a api atualiza o webhook da caixa no Chatwoot sozinha, logo depois da troca. Confira a caixa. |
| `proxy_relay_reconnect_required` | A inbox usa o proxy pelo celular (APK) com o token atual. | A api troca o token na URL do proxy e desconecta o aparelho. Configure o APK com o novo token. |
| `long_lived_clients_closed` | Há conexões abertas em `GET /events` (SSE) ou por WebSocket. | Elas são fechadas. Conecte de novo com o novo token. |

`warnings` repete essas situações em texto (em inglês), para registro.

Depois da troca, todo sistema que ainda usa o token antigo recebe `401`: atualize o token onde ele estiver salvo. O token atual também aparece em `GET /inbox/all`, com o `admintoken`.


## Autenticação

```json
[
  {
    "admintoken": []
  }
]
```

```json
{
  "admintoken": {
    "name": "admintoken",
    "type": "apiKey",
    "in": "header",
    "description": "Token de administrador para endpoints administrativos"
  }
}
```

## Corpo da requisição

```json
{
  "required": true,
  "content": {
    "application/json": {
      "schema": {
        "type": "object",
        "required": [
          "inbox_id"
        ],
        "properties": {
          "inbox_id": {
            "type": "string",
            "description": "Id da inbox (de `GET /inbox/all`)."
          },
          "confirm_impacts": {
            "type": "boolean",
            "description": "`true` troca o token. Sem ele (ou `false`), nada muda: a resposta é `409` com o que a troca afetaria.",
            "example": true
          }
        },
        "additionalProperties": false
      },
      "example": {
        "inbox_id": "r183e2ef9597845",
        "confirm_impacts": true
      }
    }
  }
}
```

## Respostas

```json
{
  "200": {
    "description": "Token da inbox rotacionado com sucesso",
    "content": {
      "application/json": {
        "schema": {
          "type": "object",
          "required": [
            "token",
            "rotated_at",
            "impacts",
            "warnings"
          ],
          "properties": {
            "token": {
              "type": "string",
              "description": "Novo token da inbox.",
              "example": "6faefb58-1270-46b8-a3b1-620e5148ceda"
            },
            "rotated_at": {
              "type": "string",
              "format": "date-time",
              "description": "Quando o token trocou. ISO 8601 em UTC com milissegundos."
            },
            "impacts": {
              "type": "object",
              "required": [
                "chatwoot_reconfigure_requested",
                "proxy_relay_reconnect_required",
                "long_lived_clients_closed"
              ],
              "properties": {
                "chatwoot_reconfigure_requested": {
                  "type": "boolean",
                  "example": true,
                  "description": "A inbox tem o Chatwoot ligado; a api atualiza o webhook da caixa sozinha."
                },
                "proxy_relay_reconnect_required": {
                  "type": "boolean",
                  "example": true,
                  "description": "O proxy pelo celular (APK) usa o token atual; configure o APK com o novo."
                },
                "long_lived_clients_closed": {
                  "type": "boolean",
                  "example": true,
                  "description": "Havia conexões abertas (SSE em `GET /events` ou WebSocket); elas foram (ou serão) fechadas."
                }
              },
              "description": "O que a troca afeta nesta inbox; veja a tabela acima."
            },
            "warnings": {
              "type": "array",
              "items": {
                "type": "string"
              },
              "example": [
                "Verify Chatwoot and proxy relay clients after rotation."
              ],
              "description": "As mesmas situações de `impacts`, em texto (em inglês)."
            }
          }
        }
      }
    }
  },
  "400": {
    "description": "Corpo inválido.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "invalid_request",
          "message": "Corpo inválido."
        }
      }
    }
  },
  "401": {
    "description": "admintoken ausente ou inválido.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "unauthorized",
          "message": "admintoken inválido."
        }
      }
    }
  },
  "403": {
    "description": "Troca bloqueada em servidor de demonstração.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "forbidden",
          "message": "Troca bloqueada em servidor de demonstração."
        }
      }
    }
  },
  "404": {
    "description": "Inbox não encontrada",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "not_found",
          "message": "Inbox não encontrada"
        }
      }
    }
  },
  "409": {
    "description": "Faltou `confirm_impacts: true`: nada mudou. Mostra o que a troca afetaria (`impacts`, `warnings`).",
    "content": {
      "application/json": {
        "schema": {
          "allOf": [
            {
              "$ref": "#/components/schemas/OrkesioError"
            },
            {
              "type": "object",
              "required": [
                "impacts",
                "warnings"
              ],
              "properties": {
                "error": {
                  "type": "string",
                  "enum": [
                    "confirmation_required"
                  ]
                },
                "impacts": {
                  "type": "object",
                  "properties": {
                    "chatwoot_reconfigure_requested": {
                      "type": "boolean",
                      "example": true,
                      "description": "A inbox tem o Chatwoot ligado; a api atualiza o webhook da caixa sozinha."
                    },
                    "proxy_relay_reconnect_required": {
                      "type": "boolean",
                      "example": true,
                      "description": "O proxy pelo celular (APK) usa o token atual; configure o APK com o novo."
                    },
                    "long_lived_clients_closed": {
                      "type": "boolean",
                      "example": false,
                      "description": "Havia conexões abertas (SSE em `GET /events` ou WebSocket); elas foram (ou serão) fechadas."
                    }
                  },
                  "description": "O que a troca afeta nesta inbox; veja a tabela acima."
                },
                "warnings": {
                  "type": "array",
                  "items": {
                    "type": "string"
                  },
                  "description": "As mesmas situações de `impacts`, em texto (em inglês)."
                }
              }
            }
          ]
        }
      }
    }
  },
  "429": {
    "$ref": "#/components/responses/RateLimited"
  },
  "500": {
    "description": "Erro interno ao rotacionar token da inbox",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "internal_error",
          "message": "Erro interno ao rotacionar token da inbox"
        }
      }
    }
  }
}
```

**Estado:** Disponível

## Compatibilidade de canais

| Canal | Compatível | Observação |
|---|---|---|
| WhatsApp (Web) | Sim |  |
| WhatsApp (API oficial) | Sim |  |
| Instagram | Sim |  |
| Messenger | Sim |  |
| Telegram | Sim |  |

## Eventos que esta rota gera

Nenhum. Esta rota não gera evento no webhook (nem em `GET /events`): o resultado vem só na resposta.

## Antes e depois (uazapi → Orkesio)

Na uazapi: `POST /instance/token/rotate`.

- `POST /inbox/token/rotate`, só com o `admintoken`, como na uazapi; o `id` do corpo virou `inbox_id` (o nome antigo dá `400`).
- Resposta sem `success`, `message`, `instance_id`, `previous_token_invalidated` e `restart_requested`; `rotated_at` em ISO 8601.
- Sem `confirm_impacts: true`, `409 confirmation_required` com `impacts` e `warnings`.

## #/components/schemas/OrkesioError

```json
{
  "type": "object",
  "properties": {
    "error": {
      "type": "string",
      "description": "Código estável do erro, em inglês e `snake_case`. Os de uso geral: `invalid_request` (400): pedido inválido: JSON malformado, campo desconhecido ou valor fora do permitido (o detalhe em `message`; o campo em `field`, quando é um só); `unauthorized` (401): `token` ou `admintoken` ausente ou inválido; `forbidden` (403): o token não pode fazer isso (no servidor de demonstração, por exemplo); `not_admin` (403): o WhatsApp recusou por falta de permissão no grupo ou na newsletter; `account_restricted` (403): o WhatsApp restringiu a conta de iniciar conversas novas (mandar para quem já conversa continua valendo; até quando, em `GET /inbox/limits`); `new_chat_limit` (403): a conta atingiu a cota do WhatsApp de conversas novas neste ciclo (veja `GET /inbox/limits`); os dois também no `error` de `OrkesioMessage` e de `message.status`, e não adianta repetir o envio; `payment_required` (403): na API oficial, a Meta recusou o envio por um problema no pagamento da conta do WhatsApp Business (erro 131042 da Meta); acerte a forma de pagamento no gerenciador da Meta, porque repetir não adianta; também no `error` de `OrkesioMessage` e de `message.status`; `whatsapp_rejected` (400): o WhatsApp recusou a mudança pedida (o campo, em `field`, quando é um só); `not_found` (404): o recurso não existe nesta inbox; `conflict` (409): o recurso já existe ou mudou (id em uso, inbox de outro canal); `inbox_not_paired` (409): a inbox ainda não conectou um número; `payload_too_large` (413): o corpo passou do limite; `canceled` e `expired`: só no `error` de `OrkesioMessage` e de `message.status` (envio cancelado antes de sair, ou que passou do prazo na fila); `rate_limited` (429): muitos pedidos; espere o `Retry-After`; `internal_error` (500): falha inesperada na api; tente de novo; `send_failed` (500): o envio falhou (o motivo em `message`); também no `error` de `OrkesioMessage` e de `message.status`; `unsupported_for_channel` (501): o canal da inbox não atende esta rota ou este tipo de mensagem; `meta_error` (502): a Meta recusou ou não respondeu; `disconnected` (503): a inbox está desconectada (sem sessão do WhatsApp, ou token do canal oficial vencido); `unavailable` (503 ou 504): o WhatsApp não respondeu a tempo, ou algo em andamento impede agora; tente de novo. Cada rota lista os códigos próprios dela (`outside_window`, `number_invalid`, `flow_invalid`...). A lista pode crescer: trate código desconhecido pelo status HTTP."
    },
    "message": {
      "type": "string",
      "description": "Descrição para pessoas (às vezes o texto do WhatsApp ou da Meta). Não compare o texto: use `error`."
    },
    "field": {
      "type": "string",
      "description": "O campo do pedido que causou o erro, quando é um só (por exemplo, o campo que o WhatsApp recusou num `PATCH`)."
    }
  },
  "required": [
    "error",
    "message"
  ],
  "additionalProperties": true,
  "description": "O objeto de erro da Orkesio, o mesmo em todo lugar: o corpo das respostas de erro e o `error` de `OrkesioMessage`, `message.status` e `message.failed`. Algumas rotas juntam campos próprios (`request_id`, `errors`...)."
}
```

## #/components/responses/RateLimited

```json
{
  "description": "`rate_limited`: passou do limite de chamadas desta inbox (ou do admin); espere o tempo do header `Retry-After` e tente de novo.",
  "headers": {
    "Retry-After": {
      "description": "Segundos até poder chamar de novo.",
      "schema": {
        "type": "integer",
        "minimum": 1
      }
    }
  },
  "content": {
    "application/json": {
      "schema": {
        "$ref": "#/components/schemas/OrkesioError"
      },
      "example": {
        "error": "rate_limited",
        "message": "Muitas requisições."
      }
    }
  }
}
```

## Guias relacionados

[Visão geral](/docs/overview) · [O que funciona em cada canal](/docs/canais) · [O que muda da uazapi](/docs/o-que-muda)