API REST do GLPI: o que é, como habilitar e como usar na prática

Autor: Pedro Tebaldi PM do KeepGreen

Publicado ago/2026

Abrir chamado por e-mail, cadastrar ativo na mão, copiar dados de um sistema para outro: boa parte da rotina de um service desk ainda depende de tarefas repetitivas que poderiam acontecer sozinhas. A API do GLPI existe exatamente para eliminar esse trabalho manual.

Com ela, sistemas externos leem e gravam dados do GLPI de forma automática: abrem chamados a partir de alertas, consultam ativos, atualizam usuários e alimentam portais, chatbots e ferramentas de monitoramento.

Neste guia, você aprende a habilitar a API, autenticar com segurança e executar as operações essenciais. Além disso, entende quando usar a API legada (v1) ou a nova API de alto nível (v2) do GLPI 11. Os exemplos estão prontos para adaptar ao seu ambiente.

O que é a API do GLPI e o que ela permite fazer

A API do GLPI é a interface REST que permite a sistemas externos ler e gravar dados da plataforma sem passar pela tela do sistema. Na prática, ela cria e atualiza chamados, consulta e cadastra ativos, gerencia usuários e executa buscas avançadas. Esse acesso transforma o GLPI em um hub de integração da operação de TI.

Praticamente tudo que um técnico faz na interface web tem um equivalente via API: abrir um ticket, anexar um documento, mudar o status de um incidente, registrar um novo computador no parque. Por isso, ela é a base de qualquer projeto sério de gestão de chamados no GLPI em escala.

Vale destacar que a API respeita o modelo de permissões da plataforma. Cada requisição roda no contexto de um usuário, com seus perfis e entidades. Ou seja, um script nunca enxerga mais do que o usuário que o autentica poderia ver na interface.

API v1 ou API v2: qual usar no GLPI 11

No GLPI 11, a API v2 (alto nível) é a recomendada para aplicações novas: autenticação OAuth2, filtros RSQL e suporte a GraphQL. A API v1 (legada) continua disponível e ainda cobre mais funcionalidades, o que a mantém como escolha segura para scripts e integrações em produção.

O GLPI 11 chegou em outubro de 2025, conforme o anúncio oficial de lançamento, trazendo webhooks nativos, formulários integrados e 2FA. A versão marca a transição entre as duas gerações da API.

A v1 acompanha a plataforma desde o GLPI 9.1 e expõe endpoints por tipo de item via apirest.php. Em contrapartida, a v2 nasceu com OAuth2 e escopos de acesso.

A documentação oficial da versão 2 detalha os seis escopos disponíveis: email, user, status, inventory, graphql e api.

 
Em resumo: quem mantém integrações antigas segue na v1 sem sustos. Quem começa um projeto novo no GLPI 11 deve avaliar a v2 primeiro, principalmente se a aplicação precisa de OAuth2 ou de consultas mais expressivas.

Como habilitar a API REST do GLPI passo a passo

Para habilitar a API do GLPI, acesse Configuração, depois Geral, aba API com um perfil de administrador. Ative a opção de API REST e anote a URL exibida, no padrão https://seu-glpi/apirest.php. Em seguida, crie um cliente de API para cada aplicação que vai se conectar e defina os métodos de autenticação aceitos.

O cliente de API funciona como o crachá de cada integração. Ele tem nome, estado ativo ou inativo, registro de logs e um App-Token próprio. Também aceita filtro por faixa de IP: assim, apenas o servidor autorizado consegue usar aquela credencial.

A recomendação é criar um cliente separado para cada sistema que consome a API. Dessa forma, a auditoria mostra exatamente quem fez cada requisição. Se uma integração for desativada, basta revogar o cliente correspondente sem afetar as demais.

Falta o token do usuário. No menu Administração, abra o cadastro do usuário de integração, localize a seção de chaves de acesso remoto e gere a chave. Esse user token identifica quem executa as operações e define as permissões efetivas.

Autenticação na prática: App-Token, user token e Session-Token

O fluxo de autenticação da API v1 usa três tokens com papéis diferentes. O App-Token identifica a aplicação cliente. O user token identifica o usuário. Por fim, o Session-Token representa a sessão aberta e acompanha todas as requisições seguintes.

O primeiro passo de qualquer integração é chamar o endpoint initSession para trocar as credenciais por uma sessão válida:

# inicia a sessão e devolve o Session-Token
curl -X GET \
  -H "Content-Type: application/json" \
  -H "Authorization: user_token SEU_USER_TOKEN" \
  -H "App-Token: SEU_APP_TOKEN" \
  https://seu-glpi.empresa.com.br/apirest.php/initSession

A resposta traz o campo session_token. A partir daí, toda requisição carrega os headers Session-Token e App-Token juntos. Sem eles, a API devolve erro de autenticação e recusa a operação.

Duas boas práticas fecham o ciclo. Primeiro, trate a sessão como recurso finito: ao terminar o fluxo, chame killSession para encerrá-la. Segundo, guarde tokens em cofres de segredos ou variáveis de ambiente, nunca no código-fonte.

Operações essenciais: criar, consultar e atualizar chamados

Com a sessão aberta, as operações seguem um padrão simples: método HTTP + endpoint do tipo de item. Para criar registros, o corpo da requisição envolve os campos dentro de um objeto input. O exemplo abaixo abre um chamado a partir de um alerta de monitoramento:

# cria um chamado com título, descrição e urgência
curl -X POST \
  -H "Content-Type: application/json" \
  -H "Session-Token: SEU_SESSION_TOKEN" \
  -H "App-Token: SEU_APP_TOKEN" \
  -d '{"input": {"name": "Servidor web-01 sem resposta", "content": "Alerta do monitoramento: host indisponível", "urgency": 4, "type": 1}}' \
  https://seu-glpi.empresa.com.br/apirest.php/Ticket

A API responde com o ID do chamado criado. O mesmo padrão vale para consultar, atualizar e excluir: muda apenas o método HTTP e o caminho. A tabela resume as operações que sustentam a maioria das integrações:

 
Para ir além do básico, a referência completa de endpoints documenta dezenas de operações, com exemplos em curl e os códigos de erro mais comuns. Ela cobre inclusive upload de documentos e ações em massa.

Além de chamados: ativos, inventário e usuários

O mesmo padrão de endpoints funciona para qualquer tipo de item: Computer, Monitor, Software, User, entre outros. Um POST em /Computer cadastra uma máquina. Uma busca em /search/Software lista os sistemas instalados no parque.

Esse acesso abre cenários valiosos para o inventário de ativos no GLPI. Por exemplo: sincronizar o CMDB com uma planilha de contratos, cruzar licenças com notas fiscais do ERP ou alimentar dashboards executivos com a posição atual do parque.

Da mesma forma, a API gerencia usuários e grupos. Integrações com RH criam contas automaticamente na admissão, ajustam perfis na mudança de área e desativam acessos no desligamento. Nada disso depende de tarefas manuais do time de TI.

Documentos seguem a mesma lógica: a API faz upload de arquivos, vincula anexos a chamados e permite download programático. Assim, laudos técnicos, evidências de incidentes e contratos digitalizados entram no GLPI direto dos sistemas que os geram.

Casos de uso reais de integração com a API do GLPI

A API deixa de ser abstração quando entra na operação do dia a dia. Três padrões de integração aparecem com frequência nos projetos de ITSM e resolvem dores concretas do service desk.

Monitoramento que abre chamados sozinho

O caso clássico conecta a plataforma de monitoramento de TI ao service desk. Quando um alerta crítico dispara, a ferramenta chama a API e abre o chamado com categoria, urgência e descrição já preenchidas.

A integração do GLPI com o Zabbix segue exatamente esse desenho, com trigger de alerta virando ticket em segundos.

O ganho é direto: nenhum incidente depende de alguém perceber o problema e registrar o chamado. O tempo de resposta cai e o histórico fica completo desde o primeiro segundo.

Portais e formulários personalizados

Empresas com necessidades específicas constroem portais próprios de abertura de chamados: uma aplicação web interna que valida campos, consulta o catálogo e envia o ticket via API.

Nesse cenário, os plugins e a customização do GLPI complementam a API. O FormCreator cobre os formulários, enquanto a API cobre as integrações mais profundas.

Automação de fluxos e webhooks

A API também sustenta cenários avançados de automação no GLPI: robôs que triam chamados, scripts que fecham tickets resolvidos e rotinas que escalam incidentes parados.

No GLPI 11, os webhooks nativos completam o quadro no sentido inverso: o GLPI avisa sistemas externos quando um evento acontece, sem necessidade de consultas periódicas.

Segurança da API do GLPI: boas práticas

Toda porta de integração é também uma superfície de ataque. Por isso, a configuração da API merece o mesmo rigor aplicado a qualquer acesso administrativo do ambiente.

As práticas essenciais começam no acesso: um cliente de API por aplicação e filtro de IP restrito ao servidor de origem. O usuário de integração deve ter perfil dedicado com permissões mínimas. HTTPS é obrigatório em qualquer chamada. Complete com rotação periódica de tokens e logs do cliente habilitados para auditoria.

Adicionalmente, desative a API se nenhuma integração estiver em uso e revogue clientes de projetos encerrados. Um App-Token esquecido em um script antigo é o tipo de brecha que ninguém monitora até virar incidente.

Trate também o endpoint da API como um serviço a ser observado. Se o apirest.php ficar fora do ar, as integrações param em silêncio: alertas deixam de virar chamados sem que ninguém perceba. Um check de disponibilidade simples na ferramenta de monitoramento resolve esse ponto cego.

Conclusão

A API do GLPI transforma a plataforma de um sistema de registro em um hub de integração: chamados nascem de alertas, ativos se mantêm sincronizados e fluxos inteiros rodam sem intervenção humana. O caminho começa simples: ativação da API e um cliente bem configurado. Depois disso, tudo evolui no ritmo da sua operação.

Com o GLPI 11, a decisão entre a v1 e a v2 passa a fazer parte do projeto. Integrações existentes seguem estáveis na API legada, enquanto aplicações novas ganham OAuth2, RSQL e webhooks. Em qualquer cenário, as boas práticas de segurança valem igual: menor privilégio, um cliente por aplicação e auditoria ativa.

Se a sua empresa quer acelerar esse caminho, a OpServices oferece implementação e consultoria de GLPI. Isso inclui integrações via API com monitoramento e automação de fluxos. Fale com nossos especialistas e descubra como levar seu service desk para o próximo nível.