SlateCore API

API REST somente leitura para o seu slate, equipe, festivais, calendário e finanças. Pensada para que o seu site público (ou o das suas coprodutoras) leia dados em tempo real da SlateCore — sem precisar duplicá-los em um CMS à parte. Também oferecemos webhooks de saída para que o seu site seja invalidado assim que você mudar algo aqui dentro.

Gere a sua chave de API em Configurações → API & Webhooks, dentro do app. Disponível para os planos Studio e Label.

Autenticação

Toda requisição exige o header X-API-Key com a sua chave. As chaves são armazenadas com hash SHA-256 — a versão em texto puro só aparece uma vez, ao criá-la, então guarde-a bem (gerenciador de segredos / variável de ambiente). Se você a perder, revogue e gere uma nova.

curl -H "X-API-Key: sk_live_..." \
  https://slatecore.app/api/v1/ping

Cada chave traz um conjunto de escopos (projects:read, team:read etc.). Um endpoint que exige um escopo que a sua chave não tem retorna 403 insufficient_scope.

Rate limits

Limites por minuto e por dia, configuráveis por chave (padrões: 60/min, 10.000/dia). Quando você os excede, o endpoint retorna 429 rate_limit_exceeded com o header Retry-After. As respostas ficam em cache na edge com s-maxage=30, stale-while-revalidate=60 — aproveite o cache para não gerar uma requisição a cada visitante do seu site.

Erros

Todos os erros seguem o formato { error, message }:

Webhooks

Receba um POST na sua URL sempre que um dado mudar na SlateCore — útil para revalidar o seu Next.js, invalidar o cache do Webflow ou disparar deploys. Registre o webhook em Configurações → API & Webhooks, no app: você escolhe os eventos que lhe interessam e nós geramos um secret HMAC para que você verifique a origem. Tentamos novamente até 3 vezes, com backoff (1 min, 5 min, 15 min), se o seu endpoint responder com 5xx ou não responder a tempo.

Eventos

Payload

Todo evento chega no mesmo formato. tenant_id sempre aponta para o tenant receptor — em coproduções, chega um evento para cada tenant que colabora. owner_tenant_id identifica o dono do recurso quando o evento chega por fan-out.

{
  "event": "project.updated",
  "id": "uuid-do-recurso",
  "tenant_id": "uuid-do-receptor",
  "proyecto_id": "uuid-ou-null",
  "owner_tenant_id": "uuid-ou-null",
  "reason": "collaboration_changed",
  "timestamp": "2026-05-05T16:30:00Z"
}

Headers que enviamos: X-Slate-Event, X-Slate-Signature, X-Slate-Delivery (id único — útil para deduplicar do seu lado).

Verifique a assinatura HMAC

Cada entrega traz X-Slate-Signature: sha256=<hmac>. Calcule o HMAC-SHA256 do corpo bruto (não serialize o JSON de novo; use os bytes recebidos) com o seu secret e compare antes de confiar.

const crypto = require('crypto')

app.post('/slate-webhook', (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.SLATE_WEBHOOK_SECRET)
    .update(req.rawBody)         // bytes brutos, não JSON.stringify
    .digest('hex')

  if (req.header('x-slate-signature') !== expected) {
    return res.status(401).end()
  }

  // Responda 2xx rápido — processe de forma assíncrona se for lento.
  res.status(200).end()
})

Cross-tenant fan-out

Quando você edita um projeto compartilhado, os webhooks de cada tenant colaborador também são disparados, com o seu próprio tenant_id e com o owner_tenant_id apontando para o dono. Cada consumidor consulta de novo com a sua chave de API e obtém a sua própria visão (incluindo o seu part_of_slate, que é por tenant).

Quando um colaborador altera algo que afeta somente a ele (o seu próprio part_of_slate em um projeto compartilhado), o evento project.updated é disparado com reason: "collaboration_changed" apenas para esse tenant — o dono não recebe o evento, o que evita spam.

Acesso por plano

A API e os webhooks estão disponíveis nos planos Studio e Label. Os planos Indie e School não incluem acesso à API. Compare os planos em slatecore.app. Para suporte: hola@slatecore.app.