Histórico

Porque o access_token tem validade de 1 hora, mas é certo fazer uma chamada de autorização a cada PIX gerado? Me parece inapropriado.

Você pode gerar um token a cada chamada se preferir, também pode guardar token e usar por 1 hora...

Bom dia, @calebportodev. Isso mesmo, você consome o endpoint POST /oauth/token para capturar o access_token e
você pode adotar duas abordagens para reutilizá-lo:
- Renovação periódica: programar sua aplicação para verificar se o "access_token" ainda é válido a cada 3600 minutos (1 hora). Se ele estiver prestes a expirar, você pode fazer uma nova autenticação para obter um novo "access_token";
- Autenticação sob demanda: autenticar e usar o mesmo "access_token" até que ocorra uma falha 401 de na requisição. Quando essa falha ocorrer (indica que o token expirou), então você pode fazer uma nova autenticação para obter um novo "access_token".

E dentro da renovação períodica, há duas estratégias que o @calebportodev pode usar... uma é renovar o token independente de uso, e aí sempre tem um token não expirado para usar. A outra é renovar apenas se você estiver fazendo uma requisição e ver que o token que se tem está expirado.

Entendi. Só mais uma dúvida. O token deve ser enviado no header Authorization?

Sim.
Authorization: Bearer AbCdEf123456

Valeu Rubens, obrigado pela ajuda 🤝🏼