Bom dia, @daviqsh! O que o Rubens quis dizer é que, depois de obter o access_token, nas próximas requisições você deve enviar o access_token e continuar usando o certificado, sem precisar incluir o client_id e o client_secret.
Você já conseguiu obter o access_token? Como está montando a requisição?