Emitir ou renovar tokens

Suporta duas formas de iniciar uma sessão: - API key: envie a chave completa `tk_live_...` ou `tk_test_...` como `api_key` com `grant_type=api_key`. Não informe `client_id` ou `client_secret`. - App instalável: envie o código recebido no callback, o client ID público, a redirect URI exata e o `code_verifier` com `grant_type=authorization_code`. O app não possui client secret. O parâmetro `scope` restringe o token a um subconjunto dos escopos da chave no grant `api_key`. A resposta contém um access token curto e um refresh token rotativo. Para renovar uma sessão de API key, envie somente o refresh token atual. Para um app instalável, envie o refresh token atual e seu `client_id`. Sempre substitua o refresh token pelo novo valor da resposta. Alterar as permissões de um app instalável (adição ou remoção de escopos) revoga todas as autorizações e tokens existentes, mantendo o client ID. Códigos e refresh tokens anteriores retornam `invalid_grant`; os access tokens anteriores deixam de acessar os recursos. Cada restaurante deve repetir o consentimento com PKCE para obter tokens com as permissões atuais.