Ambientes e hosts

1. Os dois ambientes

Ambiente	Quando usar	Persistência	Efeito real
Sandbox	Integração inicial, testes automatizados, homologação contratual com a IORQ	Operações são persistidas e ficam disponíveis para consulta	Nenhum — não há sinalização para administradora, não há desembolso real
Produção	Operações reais	Persistência completa, integração ativa com administradora, custodiante e bancarizador	Termo de cessão real, desembolso real, registro contábil real no fundo

📘
Princípio
Sandbox é uma réplica funcional de produção — o mesmo contrato HTTP, os mesmos códigos de erro, os mesmos webhooks. A diferença é que sandbox não tem ponte para o mundo financeiro real. Use sandbox sem medo: nada que você faça lá movimenta dinheiro.

2. Hosts

A API é composta por dois hosts distintos por ambiente: o servidor de autenticação (emite tokens) e o servidor de aplicação (recebe as chamadas operacionais).

Sandbox

Serviço	Host
Autenticação	`https://auth-hs.sandbox.iorq.com.br`
API operacional	`https://hs-api.sandbox.iorq.com.br`
Painel web	`https://painel.sandbox.iorq.com.br`

Produção

Serviço	Host
Autenticação	`https://auth-hs.iorq.com.br`
API operacional	`https://hs-api.iorq.com.br`
Painel web	`https://painel.iorq.com.br`

🚧
Atenção
Credenciais de sandbox não funcionam em produção e vice-versa. O fund_id também é diferente entre ambientes — peça à IORQ o fund_id de cada ambiente antes de começar.

3. Requisitos de rede

Toda comunicação é via HTTPS (TLS 1.2+). HTTP simples é rejeitado.
Não há restrição de IP de saída para clientes da API. Você pode chamar de qualquer origem que resolva os hosts acima.
Para receber webhooks, sua URL pública precisa estar acessível para os IPs de saída da IORQ — veja Webhooks · Configuração e segurança.

4. Como obter acesso

O acesso à API é provisionado pela IORQ após assinatura do contrato comercial:

Time comercial da IORQ provisiona suas credenciais OAuth2 (client_id + client_secret) em sandbox
Você integra, testa e homologa em sandbox
Após a aprovação técnica, novas credenciais são emitidas para produção
O fund_id de produção é vinculado à sua conta no momento da liberação

Credenciais são entregues por canal seguro (cofre compartilhado, não por e-mail).

5. Versionamento

A API é versionada por compatibilidade contratual, não por path. Mudanças breaking são tratadas como exceção e comunicadas com antecedência mínima de 90 dias via:

E-mail para o contato técnico cadastrado
Changelog público
Header X-IORQ-API-Deprecation em respostas dos endpoints afetados

Mudanças aditivas (novos campos opcionais, novos eventos de webhook, novos códigos de erro) são liberadas sem aviso prévio — clientes que ignoram campos desconhecidos não quebram.

6. Próximos passos

Próximo passo — Autenticação

Obtenha seu primeiro Bearer JWT via OAuth2 client_credentials.

Voltar — Visão geral

Princípios e fluxo macro da API.