Documentação da API COFRI

# Requisição
curl -X POST https://api.cofri.digital/auth/login \
  -H "Content-Type: application/json" \
  -d '{"email":"cliente@exemplo.com","password":"minha-senha"}'

# Resposta 200
{
  "status": true,
  "data": {
    "access_token":  "eyJhbGciOi...",
    "refresh_token": "eyJhbGciOi...",
    "token_type":    "Bearer",
    "expires_in":    3600,
    "user": { "id": "...", "email": "cliente@exemplo.com", "name": "...", "role": "user" }
  }
}

Limite: 5 tentativas a cada 5 minutos por IP. Conta com e-mail ainda não verificado retorna 403 com needs_verification: true.

# Resposta 201
{ "status": true, "message": "Account created. Please verify your email.",
  "data": { "needs_verification": true, "email": "cliente@exemplo.com" } }

Provisiona a carteira na Rede Ares e uma chave de API padrão automaticamente. Um e-mail de verificação é enviado — a conta só consegue logar depois de confirmada.

Resposta igual à do login (já retorna access_token/refresh_token). Link expirado retorna 422 com expired: true — use /auth/resend-verification para gerar um novo.

# Resposta 200
{ "status": true, "data": { "access_token": "eyJ...", "token_type": "Bearer", "expires_in": 3600 } }

Retorna {"user": {...}}. Perfil pode ser atualizado em PUT /user/profile (name, phone, company_name) e a senha em POST /user/change-password.

# Resposta 200
{
  "status": true,
  "data": {
    "wallet_id": "550e8400-e29b-41d4-a716-...",
    "balances": [
      { "asset": "DePix", "available": 500000000, "pending": 0,
        "locked": 0, "available_formatted": "5.00" }
    ]
  }
}

Valores em available/pending/locked vêm em base units (8 casas decimais); available_formatted já vem pronto para exibição.

# Resposta 200
{ "status": true, "data": [
  { "symbol": "DePix", "name": "DePix", "precision": 8,
    "withdrawal_fee_flat": 100, "withdrawal_fee_percent": 0.001, "min_withdrawal": 100000000 }
] }

Retorna o endereço existente ou gera um na primeira chamada. Use POST /wallet/new-address para forçar um endereço novo (não reaproveita o atual).

# Resposta 200
{ "status": true, "data": { "address": "ares14rywca3ntxugbzd8wj3vwa9g79b40nsadb1", "asset": "DePix" } }

Endereços na Rede Ares usam o prefixo ares1... e são validados contra o próprio ledger da COFRI antes de qualquer envio ser aceito.

GET /wallet/api-keys lista as chaves ativas (sem o segredo); DELETE /wallet/api-keys/{id} revoga. O secret só aparece uma vez, na criação.

# Resposta 201
{ "status": true, "data": {
  "address": "ares14rywca3ntxugbzd8wj3vwa9g79b40nsadb1", "asset": "DePix",
  "network": "ares", "min_deposit": null, "qr_code": "ares:ares14ry..."
} }

Retorna {id, asset, address, amount, txid, source, status, created_at, credited_at}. status é pending, confirmed, failed ou expired — sem etapa de confirmação de bloco, o crédito é imediato assim que o Pix é confirmado.

Paginado. Filtros opcionais: status, asset.

# Resposta 200
{ "status": true, "data": { "fee": 100100, "asset": "DePix", "amount": 100000000, "net": 99899900 } }

Sem parâmetros. Gera um código de 6 dígitos (válido por 10 minutos) exigido em /withdraw/create. Limite: 5 a cada 5 minutos.

# Requisição
curl -X POST https://api.cofri.digital/withdraw/create \
  -H "Authorization: Bearer TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"code":"482913","asset":"DePix","amount":100000000,"address":"ares1p8x9j2m..."}'

# Resposta 201
{ "status": true, "message": "Envio realizado", "data": {
  "id": "f47ac10b-...", "asset": "DePix", "destination_address": "ares1p8x9j2m...",
  "amount": 100000000, "fee": 100100, "status": "confirmed", "created_at": "2026-07-08 10:00:00"
} }

Endereço de destino inexistente retorna 422 INVALID_ADDRESS. Sem etapa de confirmação — o status já sai confirmed.

Paginado, filtro opcional status.

Libera o saldo bloqueado e dispara o webhook withdrawal.cancelled.

# Resposta 200
{ "status": true, "data": { "buy_fee_percent": 3.00, "buy_fee_fixed": 2.00, "sell_fee_percent": 3.00 } }

# Resposta 201
{ "status": true, "data": {
  "order_id": "...", "qr_code": "00020126...", "amount": 100.00,
  "fee": 5.00, "net_amount": 95.00, "asset": "DePix", "status": "pending"
} }

Acompanhe com GET /market/buy/status/{id} (status pending → completed) ou histórico em GET /market/buy/list. O DePix cai na carteira poucos minutos após a confirmação do Pix.

# Resposta 201
{ "status": true, "message": "Solicitação de venda criada. O pagamento PIX será enviado em breve.",
  "data": { "order_id": "...", "net_brl": 96.90, "status": "pending" } }

Consulte o comprovante da liquidação (valores, taxa, status) via comprovante público usando o order_id como referência.

# Resposta 201
{ "status": true, "data": { "address": "ares1xc5qezh9j6byqmpe53jbs8a2944...", "claim_token": "a1b2c3..." } }

claim_token aparece uma única vez — guarde-o para futuramente vincular este endereço a uma conta registrada.

Retorna QR Pix (qr_code, qr_image). Acompanhe com GET /ares/purchase/status/{id} — o DePix cai no endereço em até 10 minutos após a confirmação.

# Resposta 200
{ "status": true, "data": { "address": "ares1xc5...", "asset": "DePix", "available": 500000000, "available_formatted": "5.00" } }

Sem dados pessoais — apenas saldo do endereço. Limite: 30 consultas por minuto por IP.

/receipt/{txid} é usado para transferências e depósitos na Rede Ares (formato de explorador: origem, destino, status). /liquidacao/{txid} é usado para vendas de DePix por Pix (formato de comprovante COFRI: valor bruto, taxa, valor pago, chave Pix mascarada). Nenhum dos dois expõe e-mail, CPF ou nome — apenas dados da operação em si.

# Payload de entrega
{ "event": "withdrawal.cancelled", "created": 1735689600, "data": { "withdrawal_id": "..." } }

secret retorna uma única vez, na criação — use-o para validar X-Cofri-Signature.

GET /webhook/events lista os tipos aceitos; GET /webhook/list lista seus webhooks cadastrados; GET /webhook/logs mostra o histórico de entregas; POST /webhook/test dispara uma entrega sintética imediata; POST /webhook/retry reenvia uma entrega específica; DELETE /webhook/{id} remove.