Tokens
Os tipos de credencial do Mira, para que serve cada um e como criar e revogar.
O Mira usa credenciais diferentes para cada tipo de acesso. Cada uma funciona em um lugar só, de propósito: se uma vaza, o estrago fica limitado.
| Credencial | Prefixo | Quem cria | Funciona em | Escreve? |
|---|---|---|---|---|
| Token pessoal | mira_pat_ | Cada pessoa | Extensão, CLI e API autenticada | Sim, como a pessoa |
| Token de agente | mira_pat_ | Cada pessoa | Só o /mcp | Conforme as permissões do token |
| Chave de serviço | mira_svc_ | Admin | API de consulta e envio de source maps | Só o envio de source maps |
| Chave de ingestão (DSN) | Embutida no DSN | Admin | Envio de ocorrências de um ambiente | Só escreve ocorrências |
| Segredo de webhook | mira_whsec_ | Admin | Assinatura dos eventos enviados | Não se aplica |
| Token de migração | mira_mig_ | Admin | Só as rotas de migração entre instâncias | Só o escopo Importar |
Token pessoal
Identifica você. A extensão cria um quando você entra com email e senha ou por Entrar pelo Mira, e a CLI, quando você entra com email e senha. Para gerenciar seus tokens, abra Tokens pessoais, em Configurações do Mira: a tela lista nome, validade e último uso, e permite criar com Novo token e revogar.
Use com mira login --url https://mira.example.com --token mira_pat_... na CLI. O token age com suas permissões, então trate como uma senha.
Token de agente
Dá a um agente de IA acesso ao /mcp, com leitura de evidências e escrita limitadas por eixos que você escolhe. Tem validade de 30, 90 ou 365 dias, ou nenhuma. Crie em Conectar agente, no menu do perfil, ou em Tokens de agente, em Configurações do Mira, e veja o fluxo completo em MCP.
Chave de serviço
Identifica um consumidor sem login humano. Um admin cria o serviço em Admin, Serviços de API, escolhe os projetos e as permissões e emite as chaves, cada uma com validade entre 1 e 3650 dias (90 por padrão). Veja API externa.
Para o CI de uma app, crie um serviço só com Permitir envio de source maps. A chave vai em MIRA_SOURCEMAPS_TOKEN.
Chave de ingestão
Vem embutida no DSN, que o SDK usa para enviar erros. Um admin ou Mantenedor gera a chave em Configurações do projeto → Erros, no ambiente escolhido. Ela vale só para aquele ambiente e só escreve ocorrências, por isso é segura no bundle da app. Veja Integrar uma app.
Segredo de webhook
Assina cada evento que o Mira envia ao destino. Aparece uma vez, quando o destino é criado ou o segredo é rotacionado. Veja Payloads de webhook.
Token de migração
Deixa uma instância do Mira ler os projetos de outra ou começar uma migração nela. Só um admin emite, em Administração do Mira → Migrações → Tokens de migração, e escolhe o escopo e a validade, de 1 a 7 dias:
- Exportar abre só as rotas de leitura da exportação, usadas por quem traz projetos.
- Importar abre só as rotas de importação, usadas por quem envia projetos.
O token não vale em nenhuma outra rota, e deixa de valer se o admin que o emitiu perder o papel ou for desativado. Veja o passo a passo em Migrações.
Boas práticas
- Guarde cada segredo no gerenciador de segredos do consumidor, não no repositório.
- Dê a cada consumidor a credencial mais estreita que resolve o caso. Um CI que só envia source maps não precisa de consultas.
- Rotacione emitindo a nova, atualizando o consumidor e só então revogando a antiga.
- Revogue na hora o que vazou. Revogar um token de agente, pessoal ou chave de serviço bloqueia as próximas requisições. Revogar uma chave de ingestão não tem volta.