> ## Documentation Index
> Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt
> Use this file to discover all available pages before exploring further.

# Assinar um tópico com um destino

> O tópico pai é selecionado por `topic_id` no caminho. Tópicos externos exigem autorização bilateral de Subscribe. Email e webhooks começam em `pending_confirmation`; nada é entregue até a confirmação. Filas são confirmadas após autorização do destino.

Idempotente por `(topic, protocol, endpoint)`: repetir retorna a assinatura existente, sem `signing_secret`, preservando a verificação de assinaturas. O segredo aparece uma vez, na primeira criação http/https. Armazene-o ou consulte o endpoint de segredo depois.

<Info>
  Exige a ação IAM **`notifications:Subscribe`**. Veja [NOTIFICATIONS permissões](/pt/notifications/permissions) para a lista completa, o escopo de cada ação e um exemplo de política.
</Info>


## OpenAPI

````yaml /pt/api-reference/specs/notifications.yaml post /v1/topics/{topic_id}/subscriptions
openapi: 3.0.3
info:
  title: API Basaltic Notifications
  version: 1.0.0
  description: >-
    Tópicos de publicação e assinatura com entrega por email, webhook e fila.
    Publicar distribui a mensagem a cada assinatura confirmada cujo filtro
    corresponda.


    A publicação é assíncrona: 202 confirma armazenamento e enfileiramento, não
    entrega. Consulte `GET /v1/topics/{topic_id}/messages/{message_id}` para o
    estado de distribuição e `GET /v1/topics/{topic_id}/deliveries?message=...`
    para resultados por destino.


    Email e webhooks começam em `pending_confirmation` e recebem um token: link
    por email ou POST `subscription_confirmation`. A janela é de 72 horas;
    assinaturas não confirmadas são removidas depois. `POST
    /v1/topics/{topic_id}/subscriptions/{id}/resend-confirmation` gera outro
    token; somente o hash é armazenado.


    Webhooks precisam de endereços públicos. Loopback, RFC1918, link-local e
    unique-local são recusados na assinatura e na entrega. Cada POST inclui
    `X-Basaltic-Signature: v1,t=<unix-seconds>,s=<hex>`, um HMAC-SHA256 sobre
    `"<t>.<raw-request-body>"` com o segredo da assinatura. O segredo é
    retornado na criação e pode ser consultado no endpoint próprio. Verifique o
    corpo original, sem serializá-lo novamente, e rejeite timestamps com mais de
    cinco minutos de diferença.
  contact:
    name: Basaltic Support
    email: ping@basaltic.sh
  license:
    name: Proprietary
    url: https://basaltic.sh/terms
servers:
  - url: https://notifications.{region}.basaltic.sh
    description: Endpoint de API regional
    variables:
      region:
        default: sa-saopaulo-1
        description: Código de região
security:
  - BearerAuth: []
tags:
  - name: Topics
    description: Tópicos de distribuição
  - name: Subscriptions
    description: Assinaturas de destinos e confirmação
  - name: Messages
    description: Publicação e status de entrega
  - name: Confirmations
    description: Ações sem autenticação do proprietário do destino
paths:
  /v1/topics/{topic_id}/subscriptions:
    parameters:
      - $ref: '#/components/parameters/TopicId'
    post:
      tags:
        - Subscriptions
      summary: Assinar um tópico com um destino
      description: >-
        O tópico pai é selecionado por `topic_id` no caminho. Tópicos externos
        exigem autorização bilateral de Subscribe. Email e webhooks começam em
        `pending_confirmation`; nada é entregue até a confirmação. Filas são
        confirmadas após autorização do destino.


        Idempotente por `(topic, protocol, endpoint)`: repetir retorna a
        assinatura existente, sem `signing_secret`, preservando a verificação de
        assinaturas. O segredo aparece uma vez, na primeira criação http/https.
        Armazene-o ou consulte o endpoint de segredo depois.
      operationId: subscribe
      parameters:
        - $ref: '#/components/parameters/IdempotencyKey'
      requestBody:
        required: true
        content:
          application/json:
            schema:
              $ref: '#/components/schemas/SubscribeRequest'
      responses:
        '201':
          description: Assinatura criada ou existente retornada.
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/SubscribeResponse'
        '400':
          description: >-
            Protocolo, destino ou política de filtro inválidos, incluindo
            destinos que resolvem para endereços sem roteamento público.
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/Error'
        '401':
          $ref: '#/components/responses/Unauthorized'
        '403':
          $ref: '#/components/responses/Forbidden'
        '404':
          $ref: '#/components/responses/NotFound'
        '409':
          $ref: '#/components/responses/Conflict'
        '422':
          $ref: '#/components/responses/UnprocessableEntity'
components:
  parameters:
    TopicId:
      name: topic_id
      in: path
      required: true
      schema:
        type: string
        format: uuid
        example: a1b2c3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d
    IdempotencyKey:
      name: Idempotency-Key
      in: header
      description: >-
        Chave opcional gerada pelo cliente que torna uma criação segura para
        reprodução. A reintentar uma solicitação com a mesma chave retorna o
        resultado original literalmente em vez de criar um recurso duplicado. A
        reutilização de uma chave com um corpo de solicitação diferente é
        rejeitada (422); uma solicitação cuja chave ainda está sendo processada
        retorna 409. Os registros são honrados por 24 horas. Use um UUID ou
        token exclusivo semelhante.
      required: false
      schema:
        type: string
        maxLength: 255
      example: 550e8400-e29b-41d4-a716-446655440000
  schemas:
    SubscribeRequest:
      type: object
      required:
        - protocol
        - endpoint
      properties:
        protocol:
          type: string
          enum:
            - email
            - https
            - http
            - queue
          example: https
        endpoint:
          type: string
          maxLength: 2048
          description: >-
            Endereço de email, URL http/https com esquema correspondente ao
            protocolo e endereço publicamente roteável ou, para `queue`, UUID,
            CRN ou nome exato de uma fila na conta e região do assinante. Filas
            são armazenadas e retornadas como CRNs canônicos. Assinaturas de
            fila já são confirmadas ao criar: o consentimento é verificado pela
            permissão `queue:SendMessage`. Email e webhooks exigem confirmação
            do proprietário do destino.
          example: https://hooks.example.com/basaltic
        raw_message_delivery:
          type: boolean
          default: false
          description: Somente http/https.
          example: false
        filter_policy:
          $ref: '#/components/schemas/FilterPolicy'
        delivery_policy:
          $ref: '#/components/schemas/DeliveryPolicy'
        redrive_policy:
          $ref: '#/components/schemas/RedrivePolicyInput'
        tags:
          $ref: '#/components/schemas/Tags'
    SubscribeResponse:
      type: object
      required:
        - subscription
      properties:
        subscription:
          $ref: '#/components/schemas/Subscription'
        signing_secret:
          type: string
          description: >-
            Chave HMAC para verificar entregas por webhook. Retornada somente na
            primeira criação http/https; ausente para email e para assinaturas
            existentes.
          example: kJ8vQ2xR5tY7uI0oP3aS6dF9gH1jK4lZ7xC0vB3nM6Q
    Error:
      type: object
      required:
        - error
      properties:
        error:
          type: object
          required:
            - code
            - message
            - request_id
          properties:
            code:
              type: string
              description: Código de erro identificando o tipo de erro
              example: INVALID_INPUT
            message:
              type: string
              description: Mensagem de erro legível pelo ser humano
              example: Invalid request parameters
            params:
              type: object
              additionalProperties: true
              description: >-
                Valores não sensíveis opcionais para interpolação de erros
                localizados, codificados por código de erro. Nunca presente para
                erros de servidor.
              example:
                instances: 2
                pools: 0
            request_id:
              type: string
              format: uuid
              description: Solicitar ID para depuração
              example: 550e8400-e29b-41d4-a716-446655440000
    FilterPolicy:
      type: object
      maxProperties: 20
      description: >-
        Filtra atributos da publicação, não campos do corpo. Cada atributo deve
        corresponder a uma alternativa: AND entre nomes e OR dentro de cada
        lista. Nomes e comparações distinguem maiúsculas. Política omitida ou
        vazia aceita todas as mensagens.


        Alternativas: strings ou números exatos, ou objetos com um operador:
        `{"prefix": "order."}`, `{"suffix": ".failed"}`, `{"anything-but":
        ["debug", "trace"]}`, `{"exists": true}`, `{"exists": false}` ou
        `{"numeric": [">=", 100, "<", 1000]}`. Prefixos e sufixos não podem ser
        vazios. `anything-but` aceita uma string, número ou lista de 1–50
        valores.


        Somente `exists: false` aceita atributo ausente. Exclusão também exige
        presença. Operadores numéricos: `=`, `<`, `<=`, `>` e `>=`; todos os
        pares devem ser verdadeiros. Valores não numéricos não correspondem.
        Números simples comparam representações textuais; use `numeric` para
        equivalência entre "100" e "100.0".


        Até 20 nomes não vazios, com 1–50 alternativas por nome. Um operador por
        objeto. Não há curingas, expressões regulares, filtros no corpo ou
        operadores aninhados. PATCH substitui a política inteira; `{}` limpa e
        omissão preserva. Veja [Políticas de
        filtro](/pt/notifications/filter-policies).
      additionalProperties:
        type: array
        minItems: 1
        maxItems: 50
        items: {}
      example:
        event:
          - order.created
          - order.paid
        environment:
          - production
        amount:
          - numeric:
              - '>='
              - 100
              - <
              - 1000
        test:
          - exists: false
    DeliveryPolicy:
      type: object
      description: >-
        Política de tentativas. Campos omitidos herdam o tópico e depois os
        padrões: 6 tentativas, espera exponencial de 20s a 20min com variação
        aleatória e timeout de 15s. A herança ocorre por campo; alterar
        `max_attempts` preserva a curva do tópico.
      properties:
        max_attempts:
          type: integer
          minimum: 1
          maximum: 10
          description: >-
            Total de tentativas, incluindo a primeira. 1 desativa novas
            tentativas.
          example: 6
        min_delay_seconds:
          type: integer
          minimum: 1
          maximum: 3600
          description: Espera antes da segunda tentativa.
          example: 20
        max_delay_seconds:
          type: integer
          minimum: 1
          maximum: 3600
          description: Limite da curva exponencial.
          example: 1200
        timeout_seconds:
          type: integer
          minimum: 1
          maximum: 30
          description: Timeout por solicitação. Ignorado para email.
          example: 15
    RedrivePolicyInput:
      type: object
      required:
        - dead_letter_queue
      description: >-
        Fila da conta do assinante que recebe falhas definitivas como mensagens
        `delivery_failure`, com a notificação original e um bloco `failure`
        contendo ID, destino, tentativas, último erro e status. Sem fila, as
        falhas continuam disponíveis nos registros e métricas. Exige
        `queue:SendMessage` ao definir a política. Em assinaturas de fila, o
        destino deve ser diferente da fila assinada.
      properties:
        dead_letter_queue:
          type: string
          description: >-
            UUID, CRN ou nome exato da fila na conta e região do assinante.
            Vazio em PATCH remove o destino.
          example: crn:queue:sa-saopaulo-1:my-account:queue/notification-failures
    Tags:
      type: object
      additionalProperties:
        type: string
      example:
        environment: production
        team: backend
    Subscription:
      type: object
      required:
        - id
        - crn
        - protocol
        - endpoint
        - status
        - raw_message_delivery
        - created_at
        - updated_at
      properties:
        id:
          type: string
          format: uuid
          example: b2c3d4e5-6f7a-4b8c-9d0e-1f2a3b4c5d6e
        crn:
          type: string
          description: >-
            Aninhado no nome real do tópico e na conta proprietária, incluindo
            assinaturas entre contas.
          example: >-
            crn:notifications:sa-saopaulo-1:my-account:topic/orders/subscription/b2c3d4e5-6f7a-4b8c-9d0e-1f2a3b4c5d6e
        protocol:
          type: string
          enum:
            - email
            - https
            - http
            - queue
          example: https
        endpoint:
          type: string
          description: >-
            Imutável. Endereço de email, URL http/https ou CRN canônico da fila
            quando o protocolo é queue.
          example: https://hooks.example.com/basaltic
        status:
          type: string
          enum:
            - pending_confirmation
            - confirmed
          example: confirmed
        raw_message_delivery:
          type: boolean
          description: >-
            Somente http/https. Entrega o conteúdo publicado sem envelope; os
            metadados passam para os cabeçalhos.
          example: false
        filter_policy:
          $ref: '#/components/schemas/FilterPolicy'
        delivery_policy:
          $ref: '#/components/schemas/DeliveryPolicy'
        redrive_policy:
          $ref: '#/components/schemas/RedrivePolicy'
        confirmation_expires_at:
          type: string
          format: date-time
          nullable: true
          description: Vencimento da confirmação pendente. Ausente após confirmar.
          example: '2026-01-21T09:30:00Z'
        confirmed_at:
          type: string
          format: date-time
          nullable: true
          example: '2026-01-18T09:31:00Z'
        tags:
          $ref: '#/components/schemas/Tags'
        created_at:
          type: string
          format: date-time
          example: '2026-01-18T09:30:00Z'
        updated_at:
          type: string
          format: date-time
          example: '2026-01-18T09:31:00Z'
    RedrivePolicy:
      type: object
      required:
        - dead_letter_queue
      properties:
        dead_letter_queue:
          allOf:
            - $ref: '#/components/schemas/ResourceRef'
          description: >-
            Fila vinculada. Um destino excluído mantém ID e CRN armazenados, sem
            nome.
          example:
            id: c3d4e5f6-7a8b-4c9d-8e0f-1a2b3c4d5e6f
            crn: crn:queue:sa-saopaulo-1:my-account:queue/notification-failures
            name: notification-failures
    ResourceRef:
      type: object
      required:
        - id
        - crn
      properties:
        id:
          type: string
          format: uuid
          example: 288aa1e9-bbf5-5584-bce9-6a688f06d8a1
        crn:
          type: string
          example: crn:catalog::platform:country/288aa1e9-bbf5-5584-bce9-6a688f06d8a1
        name:
          type: string
          description: >-
            Rótulo no momento da resposta: o nome do recurso, quando houver, ou
            seu rótulo legível (número de fatura, nome de exibição da conta).
            Ausente quando o destino não existe mais. Não é uma chave de
            consulta.
          example: Brazil
  responses:
    Unauthorized:
      description: Autenticação necessária ou token inválido
      content:
        application/json:
          schema:
            $ref: '#/components/schemas/Error'
          example:
            error:
              code: UNAUTHORIZED
              message: Authentication required
              request_id: 550e8400-e29b-41d4-a716-446655440000
    Forbidden:
      description: Permissões insuficientes
      content:
        application/json:
          schema:
            $ref: '#/components/schemas/Error'
          example:
            error:
              code: ACCESS_DENIED
              message: You don't have permission to perform this action
              request_id: 550e8400-e29b-41d4-a716-446655440000
    NotFound:
      description: Página não encontrada
      content:
        application/json:
          schema:
            $ref: '#/components/schemas/Error'
          example:
            error:
              code: NOT_FOUND
              message: Resource not found
              request_id: 550e8400-e29b-41d4-a716-446655440000
    Conflict:
      description: Conflito de recursos (por exemplo, já existe, estado inválido)
      content:
        application/json:
          schema:
            $ref: '#/components/schemas/Error'
          example:
            error:
              code: CONFLICT
              message: Resource with this name already exists
              request_id: 550e8400-e29b-41d4-a716-446655440000
    UnprocessableEntity:
      description: >
        A solicitação está bem formada, mas não pode ser processada conforme
        enviada. Nas operações que aceitam `Idempotency-Key` este é o caso de
        reutilização de chave: a chave foi vista pela primeira vez com uma carga
        de solicitação diferente, então reproduzir o resultado armazenado
        responderia a uma pergunta que o chamador não fez.
      content:
        application/json:
          schema:
            $ref: '#/components/schemas/Error'
          example:
            error:
              code: IDEMPOTENCY_KEY_REUSED
              message: >-
                This Idempotency-Key was already used with a different request
                payload
              request_id: 550e8400-e29b-41d4-a716-446655440000
  securitySchemes:
    BearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
      description: >+
        Um token bearer OAuth 2.0, enviado como `Authorization: Bearer <token>`.
        Esta é a forma recomendada de autenticação.


        Obtenha o token trocando o par de chaves de acesso de uma conta de
        serviço em `POST /v1/oauth/token` com `grant_type=client_credentials`.
        Esse é o fluxo padrão de credenciais de cliente; bibliotecas compatíveis
        com OAuth podem obter e renovar o token para você.


        ```

        curl -s -u "$KEY_ID:$SECRET" -d grant_type=client_credentials \
          https://iam.basaltic.sh/v1/oauth/token
        ```


        Os tokens duram uma hora por padrão. O mesmo par de chaves de acesso
        também serve como credencial AWS SigV4 para o endpoint de objetos
        compatível com S3, que aceita somente esse método de autenticação.


````

This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.