Quem chamar /api/check/:code precisa enviar o header Authorization: Bearer TOKEN. Sem ele, a API recusa.
/api/check/:code
Authorization: Bearer TOKEN