> ## Documentation Index
> Fetch the complete documentation index at: /docs/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Documentação das APIs da DeliveryVip, em português. Regras que mais quebram integrações: (1) Merchant API: faça polling em GET /merchant/v3/events:polling no máximo a cada 30 s por token; confirme todo evento recebido com POST /merchant/v3/events/acknowledgment e corpo [{"id": "<eventId>"}] (o campo lido é id, não eventId), inclusive eventos repetidos ou que o sistema não trata; deduplique por eventId; o evento é só um aviso, busque o pedido na orderURL. (2) Tokens client_credentials valem 24 h e não têm refresh_token: peça outro ao receber 401. (3) Webhooks: valide a assinatura HMAC sobre o corpo bruto e responda 2xx rápido; o polling é a reconciliação. (4) Open Delivery: host od.deliveryvip.com.br, um client_secret por loja, datas em UTC. (5) Fidelidade: o operador implementa 5 rotas assinadas com HMAC e chama o config push; o estorno precisa ser idempotente. (6) Partner API: scope dv.partner. Não invente endpoints: use a referência gerada das specs OpenAPI.

# Inspecionar token

> Retorna os metadados de um token, incluindo se ele está ativo (RFC 7662). A requisição deve ser autenticada com as credenciais do cliente (HTTP Basic ou `client_id`/`client_secret` no corpo) ou com um access token válido no header `Authorization: Bearer`. Para tokens inativos, a resposta é apenas `{"active": false}`.



## OpenAPI

````yaml https://app.deliveryvip.com.br/swaggers/authentication.yaml post /authentication/v1/oauth/introspect
openapi: 3.0.3
info:
  version: v1
  title: API de Autenticação DeliveryVip
  description: >-
    Emissão e gestão dos access tokens OAuth 2.0 usados nas demais APIs da
    DeliveryVip. Os tokens são opacos (não são JWT) e devem ser enviados no
    header `Authorization: Bearer <token>`. Todas as requisições ao endpoint de
    token devem usar `Content-Type: application/x-www-form-urlencoded`.
servers:
  - url: https://api.deliveryvip.com.br
    description: Produção
security: []
tags:
  - name: OAuth
    description: Emissão, renovação, revogação e inspeção de tokens OAuth 2.0.
paths:
  /authentication/v1/oauth/introspect:
    post:
      tags:
        - OAuth
      summary: Inspecionar token
      description: >-
        Retorna os metadados de um token, incluindo se ele está ativo (RFC
        7662). A requisição deve ser autenticada com as credenciais do cliente
        (HTTP Basic ou `client_id`/`client_secret` no corpo) ou com um access
        token válido no header `Authorization: Bearer`. Para tokens inativos, a
        resposta é apenas `{"active": false}`.
      operationId: introspectToken
      requestBody:
        required: true
        content:
          application/x-www-form-urlencoded:
            schema:
              type: object
              required:
                - token
              properties:
                token:
                  description: Token a inspecionar.
                  type: string
                  example: 2YotnFZFEjr1zCsicMWpAA
                client_id:
                  description: >-
                    Identificador do cliente, quando não for usado HTTP Basic
                    nem Bearer.
                  type: string
                  example: seu-client-id
                client_secret:
                  description: >-
                    Segredo do cliente, quando não for usado HTTP Basic nem
                    Bearer.
                  type: string
                  example: seu-client-secret
      responses:
        '200':
          description: Resultado da inspeção.
          content:
            application/json:
              schema:
                type: object
                required:
                  - active
                properties:
                  active:
                    type: boolean
                    description: Indica se o token está ativo.
                    example: true
                  scope:
                    type: string
                    description: Escopos do token, separados por espaço.
                    example: od.all
                  client_id:
                    type: string
                    description: Identificador do aplicativo dono do token.
                    example: RlvxmDiOqtML0MTq9Nvupuf5f0wprMa7pvNriMQyZ4A
                  token_type:
                    description: Tipo do token, sempre `Bearer`.
                    type: string
                    example: Bearer
                  exp:
                    type: integer
                    description: Momento de expiração (Unix timestamp, em segundos).
                    example: 1639658298
                  iat:
                    type: integer
                    description: Momento de emissão (Unix timestamp, em segundos).
                    example: 1639571898
        '400':
          description: >-
            Requisição sem credenciais do cliente nem access token
            (`invalid_request`).
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/oauthError'
        '401':
          description: Credenciais do cliente ou access token inválidos.
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/oauthError'
      security:
        - basicAuth: []
        - bearerAuth: []
components:
  schemas:
    oauthError:
      type: object
      description: Erro no formato OAuth 2.0 (RFC 6749, seção 5.2).
      properties:
        error:
          type: string
          description: Código do erro.
          example: invalid_client
        error_description:
          type: string
          description: Descrição legível do erro.
          example: A autenticação do cliente falhou.
  securitySchemes:
    basicAuth:
      type: http
      scheme: basic
      description: '`client_id` como usuário e `client_secret` como senha.'
    bearerAuth:
      type: http
      scheme: bearer
      description: Access token opaco obtido em `/authentication/v1/oauth/token`.

````

This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.