Em duas linhas: uma API key é uma credencial para que uma ferramenta —o seu sistema, o Cursor, o seu próprio agente, um script— trabalhe no MB Suite como um membro da sua equipe, com as permissões que você escolher e nunca com mais do que essa pessoa tem. Você a cria em Configurações > API e MCP, na aba API keys, e ela é mostrada uma única vez.

Para que serve uma API key?

Uma API key age no MB Suite como o membro que ela representa —você ou outra pessoa da equipe— e nunca pode mais do que esse membro: se é alguém que só vê os próprios negócios, a API key só vê esses negócios; se é Viewer, a API key só lê. Além disso, você escolhe quais módulos ela alcança e se pode só ler ou também escrever. Tudo o que é feito com a API key fica registrado no nome dessa pessoa.

Com uma API key, o seu sistema ou um script chamam a API REST do MB Suite, e o Cursor, o seu próprio agente ou qualquer app que aceite uma API key se conectam pelo MCP. O Claude, o ChatGPT, o VS Code e o Claude Code não precisam dela, porque se conectam pedindo a sua permissão em uma tela do MB Suite; o passo a passo de cada um está em Conectar o Claude, o ChatGPT ou o Cursor ao MB Suite com o MCP. Uma API key não pode criar, ver nem alterar outras API keys: elas são gerenciadas só nesta tela.

Quem pode criar API keys?

Só o owner e os admins veem a aba API keys de API e MCP; o resto da equipe vê só MCP e Documentação. Para criá-las, a API e o MCP precisam estar habilitados no workspace (veja API, MCP e webhooks); se alguém os desligou, Criar API key fica desabilitado até que sejam habilitados de novo. Em uma Conta, também depende de quem paga a assinatura: se a própria Conta paga, ela não precisa da permissão da agência, mas só pode criar e usar as API keys próprias dela quando essa assinatura estiver paga e ativa (no teste grátis, Criar API key fica desabilitado e a tela diz por quê); se a sua agência paga, a agência precisa permitir isso antes. Enquanto isso, a aba API keys da Conta mostra Esta Conta ainda não pode criar API keys. Para permitir:

No workspace da agência, vá em Configurações > Partners.
Na linha da Conta, abra o menu de três pontos e escolha Ver permissões.
Em Permissões de módulos, no bloco API e MCP do final, ative API keys próprias da Conta. A alteração é salva sozinha.

Em uma Conta que paga a própria assinatura, esse interruptor aparece ligado e não pode ser desligado: ela não precisa dessa permissão, e as API keys próprias dela dependem só de que a assinatura esteja paga e ativa.

Como crio uma API key?

Vá em Configurações > API e MCP: a página abre na aba API keys. Pressione Criar API key.
Se você está em um workspace, escolha o Ambiente no topo: deixe Produção para trabalhar com os seus dados reais. Teste cria uma API key de teste, que trabalha em uma organização de prática (mais abaixo, para que serve).
Em Nome, escreva para que ela serve (por exemplo, «Cursor da Laura» ou «Script de relatórios»): assim você a reconhece na tabela.
Em Age como, escolha quem ela representa: por padrão, você; também é possível escolher outro membro da organização (um admin não pode escolher um owner). A API key vê e faz o mesmo que essa pessoa, e isso não pode ser mudado depois.
Em Permissões, escolha para cada módulo Sem acesso, Leitura ou Leitura e escrita. O CRM vem em Leitura: dê só o que a ferramenta precisa. Se você der Leitura e escrita a um módulo sensível —Membros, Branding, Contas, Client Portal, Email Marketing ou Integrações—, a linha dele fica âmbar com um aviso, porque escrever ali pode mudar quem entra, a sua marca, o que os seus clientes recebem ou as suas conexões; na tabela, essa permissão também aparece em âmbar.
Deixe Permitir exclusões desligado, a menos que a ferramenta precise excluir registros (mais abaixo, o que muda).
Deixe E-mail e calendário conectados desligado, a menos que a ferramenta precise ler os e-mails e eventos vinculados ao CRM (mais abaixo, o que é). Só dá para ativar se um owner já tiver permitido isso para a organização.
Se a API key é de um agente de IA, ative API key de um agente de IA: o que ela enviar por WhatsApp ou mensagem direta fica marcado como feito por IA, como o que o Setter envia, e conta como IA (não como pessoa) nos relatórios. Ela não concede nenhuma permissão: marca o que a API key envia e, como os termos do LinkedIn não permitem passar os dados dele para uma IA, a API key não recebe dados do LinkedIn.
Logo abaixo ficam as Permissões especiais: deixe-as desligadas, a menos que a API key seja de um agente de confiança que precise delas (mais abaixo, o que são).
Se você está no workspace de uma agência e a API key também precisa trabalhar nas suas Contas, ative Acessar também as Contas e escolha Todas as Contas ou Escolher Contas. Ela só alcança as Contas que a pessoa de Age como vê.
Em Vencimento, escolha Nunca ou um prazo de 30, 90 ou 365 dias: nesse dia a API key para de funcionar sozinha.
Pressione Criar API key. Na mesma janela aparece Guarde a API key: copie-a com Copiar e guarde-a no seu gerenciador de senhas. Feche com Pronto, que é habilitado quando você a copia ou marca Já guardei.

A API key —começa com mbs_live_— é mostrada uma única vez: depois, a tabela só mostra o começo dela para você reconhecê-la. Copie-a inteira: as API keys novas terminam em um código de verificação, então uma API key cortada ou com um caractere trocado é recusada na hora como inválida (as mais antigas, sem esse código, continuam funcionando). Trate-a como uma senha: não a cole em um chat, um e-mail ou um documento compartilhado, nem em um arquivo que vá para um repositório de código; guarde-a, por exemplo, em uma variável de ambiente ou em um gerenciador de segredos. Se você a perder, rotacione-a; se outra pessoa pode tê-la visto, revogue-a.

O que muda com «Permitir exclusões»?

Desligado, a API key não pode excluir nada, mesmo com Leitura e escrita: o irreversível, como excluir negócios, pessoas ou listas, só é possível se você o ativar, e ainda precisa de pelo menos um módulo com Leitura e escrita. Mesmo quando a API key pode excluir, um agente conectado pelo MCP primeiro precisa pedir uma prévia do que vai excluir e confirmá-la. Nos módulos que guardam uma cópia, o que é excluído fica 30 dias na Lixeira —o que é excluído do CRM, na Lixeira do CRM—; o que vive fora do MB Suite não volta: arquivos anexados, modelos de WhatsApp na Meta e eventos do seu calendário. A cada exclusão, a ferramenta recebe qual cópia ficou na Lixeira, então, se a pessoa de Age como for owner ou admin, ela pode restaurá-la sozinha. Na tabela, uma API key que pode excluir leva a etiqueta Pode excluir.

O que é «E-mail e calendário conectados»?

É uma permissão à parte, desligada por padrão, em um bloco próprio abaixo de Permitir exclusões, que fica âmbar enquanto ela está ativa. Se você ativar, a API key lê os e-mails e eventos vinculados a pessoas, empresas ou negócios do CRM, só da caixa e do calendário da pessoa que ela representa; nunca a caixa inteira.

A caixa de e-mail e o calendário conectados são os que essa pessoa conectou ao CRM: Gmail, Outlook ou IMAP para o e-mail, e Google Calendar ou Outlook para o calendário. Da caixa de e-mail, a API key lê só as conversas vinculadas a uma pessoa, empresa ou negócio; do calendário, só os eventos em que o organizador ou algum convidado externo é uma pessoa ou empresa do CRM, além das reservas da página de reserva.

Como em tudo na API key, o limite é a pessoa de Age como: as caixas e os calendários de outros membros nunca saem pela API key, mesmo que essa pessoa possa vê-los na tela. Além disso, a API key precisa do CRM em Leitura ou em Leitura e escrita; com Leitura e escrita, ela também pode vincular essas conversas a uma pessoa do CRM e arquivá-las ou devolvê-las à caixa de entrada (em uma caixa do Gmail, também no Gmail). Ela não exclui e-mails.

Para ativá-la em uma API key, antes um owner precisa permitir isso para a organização (na próxima seção, como). Enquanto isso, o interruptor da API key fica desabilitado, com um aviso que diz onde um owner ativa isso: o card E-mail e calendário conectados, em Configurações → API e MCP → API keys. Na tabela, uma API key com essa permissão leva a etiqueta E-mail e calendário conectados na coluna Permissões.

O que a API key lê é o conteúdo real de e-mails e reuniões com os seus contatos. Quem usar a API key recebe esse conteúdo e o guarda sob as próprias condições, e a sua organização responde por essa entrega. Dê essa permissão só a API keys de ferramentas que você controla e que realmente precisem dela.

Quem permite e-mail e calendário conectados na organização?

Quem decide é um owner, para toda a organização, no card E-mail e calendário conectados da aba API keys, abaixo de Versão da API. Vale para as API keys e para os apps conectados, e vem desativado. Os admins o veem com o interruptor desabilitado e o aviso «Só um owner pode alterar isso»; o resto da equipe não vê a aba API keys. Para ativar:

Vá em Configurações > API e MCP: a página abre na aba API keys.
No card E-mail e calendário conectados, ative o interruptor. Aparece Ativar e-mail e calendário conectados, com o que isso implica: leia e pressione Ativar. O card fica âmbar e mostra a data em que foi ativado.
Depois, dê a permissão a cada API key que precisar dela, com Editar, e a cada app ao autorizá-lo (Conectar o Claude, o ChatGPT ou o Cursor ao MB Suite com o MCP). Ativar o card não dá a permissão a nenhuma API key nem app por si só: cada um precisa da sua própria permissão.

Desativar o card não pede confirmação e corta na hora: nenhuma API key nem app conectado lê o conteúdo das caixas nem dos calendários conectados, mesmo que tenha a permissão. Não é preciso editar API keys nem desconectar apps: os que têm a permissão ficam em pausa —na tabela, a etiqueta âmbar sai da coluna Permissões e, ao abrir as permissões, aparece E-mail e calendário conectados · pausado— e voltam a ler assim que um owner ativar o card de novo. Enquanto estiver em pausa, em Editar você pode tirar a permissão de uma API key, mas não dá-la.

Em uma agência, em cada Conta manda o próprio interruptor: uma API key ou app do workspace que também trabalha nas suas Contas só lê o e-mail e o calendário de uma Conta se essa Conta tiver isso ativado. Desativar o card do workspace não corta o acesso nas Contas que têm isso ativado: para cortar em todas de uma vez, tire a permissão da API key com Editar ou desconecte o app. O card de uma Conta é alterado pelo owner dela ou pelo owner do workspace da agência.

O que são as «Permissões especiais»?

São três permissões que vão além dos módulos, pensadas para API keys de agentes de confiança. Elas vêm desligadas, em um bloco próprio abaixo de Permissões, e cada uma fica âmbar enquanto está ativa. Um owner ou um admin pode concedê-las, nunca em uma API key de Teste.

Revelar senhas do Cofre: a API key pode pedir pela API —nunca pelo MCP— a senha das credenciais do Cofre que você escolher, hoje até 50. Ao ativar, escolha-as no seletor que aparece logo abaixo: as que a pessoa de Age como não pode acessar aparecem desabilitadas, porque essa pessoa precisa ter acesso a cada uma, também no momento de revelá-la. A API key também precisa de pelo menos Leitura no Cofre: se não tiver, o bloco avisa e a caixa de diálogo não deixa salvar. E há um limite por hora —hoje, 30 senhas— para a pessoa que ela representa, somando todas as API keys dela.

Cada senha que a API key revela fica na Atividade da credencial como «revelou o segredo», no nome dessa pessoa e, em cinza, com o nome da API key. Se a API key pedir uma credencial que você não deu a ela, ou uma à qual a pessoa não tem mais acesso, ela não recebe nada, e a Atividade registra isso como «tentou revelar o segredo sem permissão».

Editar agentes de IA ao vivo: a API key vê as instruções e o conhecimento dos agentes de IA e pode editá-los, inclusive os que atendem ao vivo na Equipe IA (os que ocupam um cargo: veja Agentes e cargos), pela API ou pelo MCP. Cada mudança passa por uma prévia que a própria API key confirma: conceder esta permissão é aprovar essas mudanças de antemão. Como em tudo, ela não vai além do que a pessoa de Age como pode ver e editar.

Criar agentes de IA: a API key pode criar agentes de IA na organização —e nas Contas que ela alcança—, inclusive a versão própria de um dos agentes do MB Suite, pela API ou pelo MCP. Cada criação passa por uma prévia que a própria API key confirma: conceder esta permissão é aprovar essas criações de antemão. Um agente novo não atende ninguém até que um cargo da Equipe IA do CRM ou do Social Inbox o assuma como seu agente —pelo app, ou ao criar ou editar esse cargo pela API ou pelo MCP—, e a pessoa de Age como precisa poder editar agentes (um Viewer não pode). Para ver ou editar depois o que ela criou, a API key também precisa de Editar agentes de IA ao vivo.

Os owners e os admins cuidam das permissões especiais como do resto da API key: podem concedê-las, desligá-las e escolher as credenciais do Cofre. Também rotacionam ou reativam uma API key que as tenha, e rotacioná-la mantém as permissões. A única coisa que continua sendo só dos owners é gerenciar uma API key que age como um owner: um admin não pode criá-la, editá-la, rotacioná-la nem reativá-la. Para cortá-la com urgência, um admin pode, sim, Suspender ou Revogar.

Uma senha revelada sai do MB Suite em texto claro para quem usa a API key, e uma mudança em um agente que atende ao vivo chega aos seus contatos a partir da próxima resposta dele, sem que ninguém a aprove na hora. Conceda essas permissões só a API keys de agentes que você controla, escolha só as credenciais de que o agente precisa e desligue-as assim que deixarem de ser necessárias.

Como usá-las pela API está na aba Documentação, no guia Permissões e escopos.

O que é o modo de ferramentas do MCP?

Fica em Avançado, em Modo de ferramentas do MCP, e só importa se você usa a API key com o MCP. Compacto (recomendado) dá ao agente cinco ferramentas gerais com as quais ele encontra, lê e executa qualquer operação que a API key permita. Uma ferramenta por operação soma uma ferramenta para cada operação (criar um negócio, mudá-lo de etapa…): é um modo mais preciso, mas mais pesado para o modelo. Na dúvida, deixe o compacto.

Como a API key é usada?

Ela vai em cada pedido à API REST (https://api.mb-suite.com/v1) ou ao servidor MCP (https://mcp.mb-suite.com) do MB Suite, no cabeçalho Authorization, no formato Bearer mbs_live_…. É assim que o seu sistema, o Cursor, um agente próprio ou um script a usam: a configuração exata do MCP está em Conectar o Claude, o ChatGPT ou o Cursor ao MB Suite com o MCP, e a da API, na aba Documentação. O que é em massa, a maioria das exclusões e o que envia algo para fora do MB Suite —um WhatsApp, um e-mail—, muda algo em outra plataforma ou tem um custo à parte passam antes por uma prévia que a própria ferramenta confirma; como isso funciona está nessa mesma aba.

Como testo sem mexer nos meus dados reais?

Com uma API key de teste. Ela começa com mbs_test_ e trabalha só na organização de prática do workspace: uma organização à parte, com dados de exemplo do CRM e cota própria, onde nada sai do MB Suite —os e-mails, as mensagens de WhatsApp e os PDFs são simulados, e o resto que usa outra plataforma responde com um erro 409—. É o lugar para testar a sua integração ou o seu agente antes de dar a ele uma API key de Produção.

Em um workspace, na aba API keys, procure o card Organização de prática e pressione Criar API key de teste (ou, em Criar API key, escolha Teste no Ambiente).
Preencha-a como qualquer outra API key. Ela age como um owner ou um admin do workspace —são eles que entram na organização de prática— e não leva permissões especiais, Contas nem e-mail e calendário conectados.
Na primeira vez, a organização de prática é criada sozinha e semeada com os dados de exemplo; o card mostra a data desses dados e quantas API keys de teste estão ativas.

Quando quiser começar do zero, Reiniciar dados de teste exclui tudo o que a organização de prática tem —pessoas, empresas, negócios, atividades, lixeira, eventos e entregas de webhooks— e semeia os dados de exemplo de novo; as API keys de teste e os webhooks de teste são mantidos. Pede confirmação com Reiniciar e não pode ser desfeito. Para testar também os seus webhooks, escolha Teste na aba Webhooks: esses webhooks recebem só o que as API keys de teste fazem (veja Webhooks). Na tabela, uma API key de teste leva a etiqueta Teste, e os pedidos dela não aparecem no Registro da sua organização: ficam na de prática.

O que a aba API keys mostra?

No topo, o bloco Versão da API: a organização fica fixada na versão vigente quando cria a primeira API key, e cada API key mantém a sua. Assim, quando sair uma versão nova, o que você já conectou não muda de um dia para o outro. Logo abaixo ficam o card E-mail e calendário conectados (mais acima, o que é) e, em um workspace, o da Organização de prática.

Acima da tabela você vê quantas API keys ativas tem sobre o máximo do seu plano: se chegar ao limite, revogue as que não usa mais (as cotas de cada plano estão em Preços). Buscar por nome encontra uma API key, e o filtro Ativas e suspensas / Todas decide se você vê também as revogadas, rotacionadas e vencidas. De cada API key, a tabela mostra o Nome com o começo da API key, quem ela representa (Age como), um resumo das Permissões, as Contas que alcança (Só este workspace ou Só esta Conta, Todas as Contas ou quantas), o Status, o Último uso com o país de onde foi usada e quando Vence.

A coluna Permissões mostra quantos módulos a API key alcança e em quantos pode escrever. Abaixo, em âmbar, o que é sensível: Pode excluir, E-mail e calendário conectados, as permissões especiais (Pode revelar com o número de senhas, Edita agentes de IA ao vivo e Cria agentes de IA) e a escrita em um módulo sensível; se não couber tudo, +N indica quantas faltam. Clique no resumo para ver, abaixo da linha, todas as permissões agrupadas por área, como no editor da API key, e, se a API key ainda puder ser editada, o botão Editar permissões. Na coluna Nome, ao lado do começo da API key, Teste marca as API keys de teste e, em violeta, Agente de IA marca as API keys de um agente de IA: é uma marca, não uma permissão.

Status	O que significa
Ativa	Funciona.
Suspensa	Está em pausa: toda chamada com ela é recusada até ela ser reativada, e a ferramenta mantém a API key. Alguém a pausou à mão, o MB Suite a pausou sozinho porque notou um uso suspeito, ou a pessoa que ela representa saiu da organização (mais abaixo, como seguir em cada caso).
Vencida	Passou a data de vencimento. Edite-a com um vencimento novo ou crie outra.
Rotacionada	Foi substituída com Rotacionar API key e as 24 horas de carência já passaram: use a nova.
Revogada	Parou de funcionar para sempre e não pode ser reativada.

Passe o cursor sobre um status que não seja Ativa para ver o motivo e o que fazer.

Como edito, rotaciono, suspendo ou revogo uma API key?

Está tudo no menu Ações da linha (os três pontos), e funciona também enquanto a API e o MCP estão desligados. Uma API key Revogada ou Rotacionada não pode mais ser alterada: o menu dela só tem Ver no registro (e uma de Teste não tem menu), e ao clicar na linha as permissões dela se abrem.

Ação	O que faz
Editar	Muda o nome, as permissões, Permitir exclusões, E-mail e calendário conectados, API key de um agente de IA, as permissões especiais, as Contas, o vencimento ou o modo de ferramentas, sem trocar a API key: vale a partir da próxima chamada. Quem ela representa não muda.
Rotacionar API key	Cria uma API key nova com a mesma configuração, permissões especiais incluídas, e a mostra uma única vez. A anterior continua funcionando por 24 horas, para você trocar sem interrupções, e depois para sozinha.
Ver no registro	Abre a aba Registro já filtrada por essa API key, com os pedidos dela dos últimos 30 dias. As API keys de Teste não têm essa opção: os pedidos delas ficam na organização de prática.
Suspender	Pausa a API key: toda chamada com ela é recusada, mas você não a perde. Reativar a liga de novo com as mesmas permissões.
Revogar	Desliga a API key na hora e para sempre. Se a ferramenta ainda precisar de acesso, crie uma API key nova.

Ao editar, Vencimento começa em Sem alteração, que mantém o vencimento que a API key já tinha, e Nunca o remove. Para estendê-lo, ou para que uma API key Vencida volte a funcionar, escolha um prazo novo —ele conta a partir desse dia— ou Nunca.

Uma API key ficou exposta? Use Revogar, não Rotacionar API key: rotacionar deixa a API key anterior funcionando por mais 24 horas. Depois, se a ferramenta precisar continuar conectada, crie uma API key nova.

Por que uma API key ficou suspensa sozinha?

Por um uso suspeito. Se uma API key acumula muitos pedidos recusados em poucos minutos, ou tenta entrar em organizações que não são a dela, o MB Suite a suspende sozinho e avisa os owners e admins nas notificações. Costuma ser uma integração mal configurada —uma API key antiga em um script, uma permissão que falta— ou alguém usando-a sem permissão. Confira o que aconteceu com Ver no registro: se você reconhece o problema e já o corrigiu, Reativar a liga de novo com as mesmas permissões; se não a reconhece, revogue-a.

Porque a pessoa saiu da organização. A API key age como essa pessoa, então depende dela: se ela sair da organização, as API keys dela ficam suspensas, e se a função ou as permissões dela mudarem, as API keys ficam limitadas às novas. Se a pessoa voltar, você pode reativá-las; se não, revogue-as. Para que uma integração não caia quando alguém sai, crie a API key no nome de quem vai continuar responsável.

Uma API key abre os dados da sua organização —contatos, empresas, negócios e atividades, as métricas das plataformas que você conectou cujos termos permitem (Google Ads, Business Profile, YouTube e TikTok não; do LinkedIn, só os relatórios das suas contas de anúncios e páginas e os leads dos seus formulários de Lead Gen, e só pela API REST, não pelo MCP) e, se você ativar E-mail e calendário conectados, os e-mails e eventos vinculados ao CRM; com as permissões especiais, também as senhas que você escolheu do Cofre e as instruções dos seus agentes de IA— para a ferramenta onde você a cola, dentro das permissões que você deu. Crie API keys só para ferramentas que você controla, com o mínimo de que precisam, e revogue-as quando deixarem de ser usadas. O uso das API keys e o tratamento desses dados são regidos pelos nossos Termos e Condições, pela nossa Política de privacidade e pelo nosso Acordo de Processamento de Dados (DPA). Próximo passo: Conectar o Claude, o ChatGPT ou o Cursor ao MB Suite com o MCP.

Ainda tem dúvidas?

Pergunte à MIA, o assistente de IA do MB Suite: abra-o com o botão MB AI (⌘J) na barra superior. A MIA conhece a seção em que você está, então você pode consultá-la sobre o que vê na tela e também tirar dúvidas de como usar o MB Suite.

API keys: deixe as suas ferramentas e agentes trabalharem no MB Suite com as permissões que você escolher