Segurança e consumo de APIs
Nunca exponha credenciais privadas. Token de acesso privado e chave secreta não podem aparecer no código frontend (JavaScript/HTML) — qualquer pessoa consegue ler esse valor pelo DevTools do navegador.
- Use só endpoints públicos. São as rotas da API feitas para rodar no frontend, sem autenticação privilegiada. Veja a lista completa em Referência da API — Público.
- Prefira a instância
api do axios. O Rocket já expõe essa instância pronta, com os headers e UTMs certos. Não monte a URL nem os headers na mão com fetch. Veja Plugins — Axios.
Exemplo
Antes de buscar um dado na API, veja se ele já está disponível na loja.
- Consulte a Store antes de chamar a API. Produto atual, ambiente e carrinho já chegam prontos na Store, carregados a partir de
window.data e window.Yampi.
- Cacheie dados que mudam pouco. Categorias, marcas e outras listas com baixa frequência de alteração podem usar o mixin
cache, que grava no localStorage com TTL. Veja Mixins — cache.
Só chame a API direto quando o dado não estiver na Store nem puder ser cacheado.