É legal usar uma API do Twitter de terceiros?

#É legal usar uma API do Twitter de terceiros?

Três conjuntos de regras decidem se um projeto construído sobre uma API do Twitter de terceiros é lícito, e cada um faz uma pergunta diferente:

1. A lei de acesso a computadores pergunta se alguém entrou em um sistema em que não tinha direito de entrar. Contas protegidas, mensagens privadas e logins de outras pessoas ficam do outro lado dessa linha.

2. Os contratos perguntam com o que você concordou: os termos do provedor cuja chave você usa e os termos do X para tudo o que você faz no próprio X.

3. A lei de privacidade pergunta o que você guarda sobre as pessoas. Um post público com um nome ou um handle continua sendo dado pessoal na UE e no Reino Unido.

Na primeira camada, os tribunais dos EUA traçaram a linha em torno dos dados públicos. No caso hiQ Labs v. LinkedIn (abre em uma nova aba), o Nono Circuito decidiu em abril de 2022 que coletar perfis públicos do LinkedIn provavelmente não era acesso "sem autorização" nos termos da Computer Fraud and Abuse Act. Mais tarde, no mesmo ano, o mesmo caso foi decidido contra a hiQ no campo contratual, quando o tribunal de primeira instância concluiu que ela havia violado o contrato de usuário do LinkedIn. Lei e contrato são questões separadas, e as duas contam.

Coletar dados do x.com por conta própria é outra questão, com resposta própria, tratada em é legal fazer scraping do Twitter.

#De quem são os termos que valem quando você usa uma API de terceiros?

Cada documento citado neste debate é um contrato com quem o aceita, então comece separando quais deles você aceitou. Lemos cada um em 2 de novembro de 2026:

• Os termos de serviço do provedor

  Quem aceita

  Você, ao criar uma conta e pegar uma chave de API

  As linhas que importam aqui

  O que você pode fazer com os dados e seu dever de cumprir as leis que se aplicam a você

• Termos de Serviço do X (abre em uma nova aba), em vigor desde 9 de outubro de 2026

  Quem aceita

  Você, ao se cadastrar no X ou usar seu site, seus apps ou a API oficial

  As linhas que importam aqui

  Como você pode usar o X e sua conta do X; os autores "retêm a titularidade e os direitos" sobre seus posts

• Contrato de Desenvolvedor do X (abre em uma nova aba) e Política de Desenvolvedor

  Quem aceita

  Desenvolvedores que usam a API oficial do X

  As linhas que importam aqui

  Cobrem a API oficial do X e o conteúdo que ela retorna: rate limits, limites para compartilhar dados, proibição de treinar modelos de fundação

Leia na íntegra os documentos que você aceitou. Se você entra no X ou executa um app na API oficial do X, as regras do X também cobrem esse uso.

A regra de 2023 sobre apps de terceiros

A regra mais citada nas respostas sobre APIs de terceiros é mais restrita do que parece. Em janeiro de 2023, depois de cortar o acesso de apps de terceiros como Tweetbot e Twitterrific, o Twitter acrescentou ao seu Contrato de Desenvolvedor uma linha que proíbe os desenvolvedores de usar a API oficial do X "para criar ou tentar criar um serviço ou produto substituto ou semelhante aos Aplicativos do X", como a The Register noticiou (abre em uma nova aba) na época. A linha continua lá hoje. Ela está no contrato que rege a API oficial do X e mira apps que substituem os apps do próprio X.

#O que a lei de privacidade exige quando você guarda posts públicos

A lei de privacidade acompanha as pessoas que estão nos seus dados, não a API de onde você os obteve, então as mesmas regras valem para qualquer fonte. As duas leis que a maioria das equipes encontra primeiro tratam posts públicos de formas opostas:

• GDPR (abre em uma nova aba) (UE, EEE) e UK GDPR

  Quando se aplica

  Você está estabelecido lá, ou oferece serviços a pessoas de lá ou monitora o comportamento delas

  Posts públicos são dados pessoais?

  Sim: qualquer informação sobre uma pessoa identificável, inclusive um handle

  O que ela exige de você

  Uma base legal, como o legítimo interesse; um aviso às pessoas envolvidas, a menos que isso exija esforço desproporcional; apenas os dados de que você precisa; exclusão quando não precisar mais deles

• CCPA (abre em uma nova aba) (Califórnia)

  Quando se aplica

  Sua empresa atinge os limites da lei e mantém dados de residentes da Califórnia

  Posts públicos são dados pessoais?

  Não, para o que a pessoa disponibilizou ao público em geral; sim, para os perfis que você infere a partir disso

  O que ela exige de você

  Avisos e respostas a solicitações de privacidade sobre as informações pessoais que você mantém, inclusive perfis inferidos

Dois pontos pegam equipes de surpresa. O GDPR restringe dados que revelem opiniões políticas, religião, saúde ou orientação sexual, então deixe esse tipo de inferência fora do seu projeto. E sua cópia deve se manter atualizada: um post apagado no X, ou uma conta que passou a ser privada, não deve continuar vivendo no seu banco de dados.

#De quem são os posts que você coleta?

Quem escreve os posts é dono deles. Os Termos de Serviço do X dizem que os usuários mantêm a titularidade do que publicam e dão ao X uma licença para exibi-lo, e fotos e vídeos pertencem a seus autores da mesma forma.

Isso molda o que você pode fazer com os dados. Contar posts, medir engajamento, acompanhar um assunto ao longo do tempo e citar um post com um link de volta para ele são os usos cotidianos dos dados do X. Republicar posts inteiros em massa ou vender um dataset deles é onde entram os direitos autorais dos autores, então compartilhe links ou IDs de posts em vez do texto completo.

#O que verificar antes de usar uma API do Twitter de terceiros

Seis verificações cobrem os riscos que recaem sobre você, o cliente, e cada uma leva alguns minutos:

1. Mantenha sua conta do X fora disso. Nunca entregue a uma ferramenta de dados sua senha, seus cookies ou seu token de sessão do X: o X pode bloquear contas em que ferramentas automatizadas entram.

2. Fique com dados públicos. Deixe de fora contas protegidas e mensagens privadas; uma ferramenta que as retorna lê dados que seus donos nunca tornaram públicos.

3. Leia os termos do provedor antes de pagar. Procure o que você pode fazer com os dados, por quanto tempo o provedor guarda suas requisições e qual empresa está por trás dele.

4. Guarde só o que o trabalho exige. Armazene os campos que você usa, defina uma data para excluí-los e descarte posts que foram apagados no X.

5. Saiba onde moram as pessoas nos seus dados. Monitorar pessoas na UE, no EEE ou no Reino Unido traz o GDPR junto, onde quer que sua empresa esteja.

6. Confira o histórico. Anos em produção e o volume atendido mostram se os dados continuam chegando depois da próxima mudança do X.

Preço, velocidade e endpoints são a outra metade da decisão, e como escolher uma API do Twitter percorre essas verificações.

#Como a Sorsa API se encaixa no checklist

A Sorsa API, uma API e scraper do Twitter (X), é construída em torno das verificações que o cliente controla: ela retorna apenas dados públicos, nunca toca na sua conta do X e custa uma fração da API oficial do X. Para ler dados públicos do X sem nenhum risco para sua conta do X, use a Sorsa API: tweets a partir de US$ 0,014 por 1.000, em lotes de 100, contra US$ 5,00 por 1.000 posts na API oficial do X (abre em uma nova aba).

• Sua conta do X

  Sorsa API

  Nunca pede seu login, cookies ou tokens do X: risco zero para sua conta

• Apenas dados públicos

  Sorsa API

  Posts, perfis, seguidores, listas e comunidades públicos; nunca contas protegidas nem DMs

• Dados atuais

  Sorsa API

  Toda resposta é atual, então posts apagados não voltam

• Termos antes de pagar

  Sorsa API

  Termos de Serviço e Política de Privacidade no site, e 100 requisições grátis para testar antes de qualquer plano

• Dados das suas requisições

  Sorsa API

  Respostas completas guardadas por 30 dias, logs de requisições por um ano, depois excluídos

• Histórico

  Sorsa API

  Em produção desde 2022, com mais de 6 bilhões de requisições atendidas e 99,9% de uptime garantido nos termos

• Preço

  Sorsa API

  Tweets a partir de US$ 0,014 por 1.000, 250x mais barato que a API oficial do X

A Sorsa API é somente leitura por projeto: ela nunca publica, curte, segue nem envia mensagens, então uma integração não consegue agir no X em nome de ninguém. Ela é operada pela Scouts Labs Inc (sobre a Sorsa API), com detalhes de uptime e segurança abertos ao público. X e o logotipo do X são marcas registradas da X Corp; a Sorsa API não é afiliada, endossada nem patrocinada pela X Corp.

Sua primeira requisição usa uma chave e nenhuma conta de desenvolvedor do X:

1. Crie uma conta. Cadastre-se e copie sua chave de API no painel; as 100 requisições grátis já estão nela.

2. Consulte um perfil público. Envie o nome de usuário na query e a chave no header ApiKey.

   curl -G "https://api.sorsa.io/v3/info" \
     -H "ApiKey: YOUR_API_KEY" \
     --data-urlencode "username=public_data_example"
   

3. Leia o JSON. GET /info (abre em uma nova aba) retorna o perfil público: nome de exibição, bio, quantidade de seguidores e de contas seguidas, e a data de criação da conta.

4. Processe o próximo trabalho em lote. POST /tweet-info-bulk (abre em uma nova aba) retorna até 100 posts públicos por requisição, cada um com o perfil do autor.

Uma requisição sem chave retorna 403, uma chave errada retorna 401, e mais de 20 requisições por segundo retornam 429; requisições com falha nunca são cobradas.

#Comece com dados públicos e termos que você leu

Usar uma API do Twitter de terceiros para ler dados públicos é legal. A Sorsa API cuida das partes que ela controla: retorna apenas dados públicos, com respostas atuais, nunca pede seu login do X e lê tweets a partir de US$ 0,014 por 1.000, em vez de US$ 5,00 na API oficial do X. Comece com as 100 requisições grátis, guarde o que seu projeto precisa e construa sobre isso.

#FAQ