Arbor Gateway APIAPI Arbor Gateway

AuthenticationAutenticação

Exchanges your credentials for a JWT token. Build a Basic Auth header: concatenate client_id:client_secret and encode it in Base64. This route takes no body — only the Authorization header.

Troca suas credenciais por um token JWT. Monte um header Basic Auth: concatene client_id:client_secret e codifique em Base64. Esta rota não aceita body — só o header Authorization.

Use the returned token as Authorization: Bearer <token> on every other route. expiresIn is in milliseconds.

Use o token retornado como Authorization: Bearer <token> em todas as demais rotas. O expiresIn vem em milissegundos.

curl -X POST https://api.pay.sejaarbor.com/api/auth \
  -u "YOUR_API_KEY:YOUR_API_SECRETSUA_API_KEY:SEU_API_SECRET"

{
  "success": true,
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "tokenType": "Bearer",
  "expiresIn": 60000
}

Create PIX QR CodeCriar QR Code PIX

Creates a dynamic PIX charge. The response includes data.pix.emv (the copy-and-paste payload, Central Bank EMV standard) and data.pix.qrCode (a PNG image in Base64, ready to display).

Cria uma cobrança PIX dinâmica. A resposta traz data.pix.emv (payload copia-e-cola, padrão EMV do Banco Central) e data.pix.qrCode (imagem PNG em Base64, pronta para exibir).

Request bodyCorpo da requisição

curl -X POST https://api.pay.sejaarbor.com/api/v1/pix/in/qrcode \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "amountInCents": 5000,
    "description": "Payment for servicesPagamento de servicos",
    "postbackUrl": "https://exemplo.com.br/webhook",
    "trackingParameters": {
      "src": "facebook",
      "sck": "campanha-setembro",
      "utm_source": "facebook",
      "utm_campaign": "lancamento",
      "utm_medium": "cpc",
      "utm_content": "criativo-a",
      "utm_term": "pix"
    },
    "customer": {
      "name": "Joao Silva",
      "email": "joao@exemplo.com",
      "documentType": "cpf",
      "document": "11122233344"
    }
  }'

{
  "success": true,
  "message": "Transacao criada com sucesso",
  "data": {
    "id": "trx_1a2b3c4d5e6f7g8h9i0j",
    "pix": {
      "emv": "00020126580014br.gov.bcb.pix0136...",
      "qrCode": "iVBORw0KGgo..."
    },
    "status": "pending",
    "fees": 0
  }
}

Get chargeConsultar cobrança

Returns the current state of the charge. It's the reliable way to confirm a payment if you don't use webhooks — check right after the payer says they paid, or at short intervals until it leaves pending.

Devolve o estado atual da cobrança. É a forma confiável de confirmar um pagamento se você não usa webhook — consulte logo após o pagador informar que pagou, ou em intervalos curtos até sair de pending.

curl https://api.pay.sejaarbor.com/api/v1/pix/in/qrcode/trx_1a2b3c4d5e6f7g8h9i0j \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN"

Send PIX transferEnviar transferência PIX

Sends a PIX to any key (CPF, CNPJ, e-mail, phone or random/EVP). Send the x-idempotency-key header with a unique value per operation — see Idempotency.

Envia um PIX para qualquer chave (CPF, CNPJ, e-mail, telefone ou aleatória/EVP). Envie o header x-idempotency-key com um valor único por operação — veja Idempotência.

Request bodyCorpo da requisição

curl -X POST https://api.pay.sejaarbor.com/api/v1/pix/out/pixkey \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN" \
  -H "x-idempotency-key: transf-9f21c3" \
  -H "Content-Type: application/json" \
  -d '{
    "pixKey": "fornecedor@exemplo.com",
    "amount": 10000,
    "description": "Supplier paymentPagamento de fornecedor",
    "postbackUrl": "https://exemplo.com.br/webhook/pix-out"
  }'

{
  "success": true,
  "message": "Transferencia criada com sucesso",
  "data": {
    "id": "transfer_abc123def456",
    "status": "pending",
    "amount": 10000,
    "netAmount": 10000,
    "fees": 0,
    "pixKey": "fornecedor@exemplo.com"
  }
}

Get transferConsultar transferência

Returns the transfer's state, including endToEndId and processedAt once completed.

Devolve o estado da transferência, incluindo endToEndId e processedAt quando concluída.

curl https://api.pay.sejaarbor.com/api/v1/pix/out/pixkey/transfer_abc123def456 \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN"

Capture the cardCapturar o cartão

This API covers international cards (USD/EUR) only — domestic cards (BRL) are only available through Arbor's Hosted Checkout. The card number, expiry date and CVV must never reach your backend: capture them directly in the customer's browser with a Payment Element and exchange them for a ConfirmationToken before calling the Arbor API.

Esta API cobre só cartão internacional (USD/EUR) — cartão nacional (BRL) só está disponível pelo Checkout Hospedado do Arbor. O número, validade e CVV nunca devem chegar ao seu backend: capture-os direto no navegador do cliente com um Payment Element e troque por um ConfirmationToken antes de chamar a API da Arbor.

You'll need your publishable key — ask the Arbor team (it isn't self-service in the Dashboard yet).

Você vai precisar da sua chave publicável — peça ao time Arbor (ainda não é auto-serviço pelo Dashboard).

card.last4/card.brand are not extracted by this API — they are just echoed back in the response as you sent them. Send a placeholder if your form doesn't expose this data (e.g. "card" / "0000").

card.last4/card.brand não são extraídos nesta API — são apenas ecoados na resposta como você enviar. Envie um placeholder se seu formulário não expuser esses dados (ex.: "card" / "0000").

const stripe = Stripe("YOUR_PUBLISHABLE_KEYSUA_CHAVE_PUBLICAVEL")
const elements = stripe.elements({ mode: "payment", currency: "usd", amount: 1999 })
const paymentElement = elements.create("payment")
paymentElement.mount("#payment-element")

// On form submit:// No submit do formulário:
await elements.submit()
const { confirmationToken, error } = await stripe.createConfirmationToken({ elements })
// confirmationToken.id ("ctoken_...") — send this, never the card// confirmationToken.id ("ctoken_...") — envie isso, nunca o cartão

Charge an international cardCobrar cartão internacional

Creates and captures an international card charge (USD/EUR) in a single call. Domestic cards (BRL) are not available through this API — only through the Hosted Checkout. The customer's billingAddress is required.

Cria e captura uma cobrança de cartão internacional (USD/EUR) em uma única chamada. Cartão nacional (BRL) não está disponível por esta API — só pelo Checkout Hospedado. O billingAddress do cliente é obrigatório.

Request bodyCorpo da requisição

curl -X POST https://api.pay.sejaarbor.com/api/v1/card \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "amountInCents": 1999,
    "currency": "USD",
    "description": "Order #4821Pedido #4821",
    "card": {
      "holderName": "John Doe",
      "token": "ctoken_1AbCdEfGhIjKlMnOp",
      "last4": "0000",
      "brand": "card"
    },
    "customer": {
      "name": "John Doe",
      "documentType": "cpf",
      "document": "12345678900",
      "email": "john@example.com",
      "billingAddress": {
        "street": "5th Avenue",
        "number": "100",
        "neighborhood": "Manhattan",
        "city": "New York",
        "state": "NY",
        "zipCode": "10001"
      }
    },
    "trackingParameters": {
      "src": "google",
      "sck": "ads-us",
      "utm_source": "google",
      "utm_campaign": "launch",
      "utm_medium": "cpc",
      "utm_content": "creative-a",
      "utm_term": "card"
    }
  }'

{
  "success": true,
  "data": {
    "id": "trx_9f8e7d6c5b4a",
    "status": "paid",
    "card": { "brand": "card", "last4": "0000" }
  }
}

Get transactionConsultar transação

Generic status lookup — works for card transactions and PIX charges using the same id returned on creation.

Consulta genérica de status — funciona para transações de cartão e cobranças PIX pelo mesmo id devolvido na criação.

curl https://api.pay.sejaarbor.com/api/v1/transactions/trx_9f8e7d6c5b4a \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN"

SimulateSimular sandbox

Only work with sandbox credentials. They confirm the charge / complete the transfer as if the real PIX had happened, firing the same webhook (transaction_paid / transfer_completed). In production they return 403; if the resource is no longer pending, they return 400.

Só funcionam com credenciais sandbox. Confirmam a cobrança / concluem a transferência como se o PIX real tivesse acontecido, disparando o mesmo webhook (transaction_paid / transfer_completed). Em produção devolvem 403; se o recurso já não estiver pendente, devolvem 400.

In sandbox, transfers skip manual review: they go straight to processing (banking_processing) and wait there until you call /complete. The QR Code returned by a sandbox charge is a valid BR Code (correct CRC), but it can't be paid by a real bank app — confirm it with /pay.

No sandbox, a transferência não passa por análise manual: vai direto para processamento (banking_processing) e espera lá até você chamar /complete. O QR Code devolvido por uma cobrança sandbox é um BR Code válido (CRC correto), mas não pode ser pago num app de banco de verdade — confirme com /pay.

curl -X POST https://api.pay.sejaarbor.com/api/v1/pix/in/qrcode/trx_1a2b3c4d5e6f7g8h9i0j/pay \
  -H "Authorization: Bearer YOUR_SANDBOX_TOKENSEU_TOKEN_SANDBOX"

curl -X POST https://api.pay.sejaarbor.com/api/v1/pix/out/pixkey/transfer_abc123def456/complete \
  -H "Authorization: Bearer YOUR_SANDBOX_TOKENSEU_TOKEN_SANDBOX"

BalanceSaldo

Returns the account balances. Unlike the rest of the API, values come as strings in reais. Use data.pix.balance as the balance available to operate with.

Devolve os saldos da conta. Diferente do resto da API, os valores vêm como strings em reais. Use data.pix.balance como o saldo disponível para operar.

curl https://api.pay.sejaarbor.com/api/v1/balance \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN"

{
  "success": true,
  "data": {
    "pix": { "balance": "1250.00" },
    "pixBlocked": { "balance": "0.00" },
    "reserve": { "balance": "300.00" }
  }
}

Manage webhooksGerenciar webhooks

A webhook is a signed POST sent to your url for each subscribed event. Creating one returns a signatureSecret — store it to verify the signature. Respond 2xx quickly; do heavy processing asynchronously.

Um webhook é um POST assinado enviado à sua url a cada evento inscrito. A criação devolve um signatureSecret — guarde-o para verificar a assinatura. Responda 2xx rápido; faça o processamento pesado de forma assíncrona.

curl -X POST https://api.pay.sejaarbor.com/api/v1/webhook \
  -H "Authorization: Bearer YOUR_TOKENSEU_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "url": "https://exemplo.com.br/webhook",
    "events": ["transaction_paid", "transfer_completed"]
  }'

{
  "success": true,
  "data": {
    "id": 123,
    "url": "https://exemplo.com.br/webhook",
    "events": ["transaction_paid", "transfer_completed"],
    "isActive": true,
    "signatureSecret": "secret_abc123",
    "createdAt": "2026-01-15T12:00:00Z"
  }
}

Verify signatureVerificar assinatura

When the webhook has a signatureSecret, each POST arrives with the ArborGateway-Signature header, in the format t=<epoch>,v1=<hmac>. Recompute the HMAC-SHA256 over {timestamp}.{JSON.stringify(payload)} with the secret and compare — preferably in constant time.

Quando o webhook tem signatureSecret, cada POST chega com o header ArborGateway-Signature, no formato t=<epoch>,v1=<hmac>. Recalcule o HMAC-SHA256 sobre {timestamp}.{JSON.stringify(payload)} com o segredo e compare — de preferência em tempo constante.

const crypto = require("crypto");

function isValidArborWebhook(payload, signature, secret) {
  const [tPart, sPart] = signature.split(",");
  const timestamp = tPart.replace("t=", "");
  const received = sPart.replace("v1=", "");

  const expected = crypto
    .createHmac("sha256", secret)
    .update(`${timestamp}.${JSON.stringify(payload)}`)
    .digest("hex");

  return expected === received;
}