API-adgang og godkendelse

SPREEAI leverer en offentlig API-reference til godkendte partnerarbejdsgange: https://docs.spreeai.com/swagger/public/.

Adgangsmodel

API-omfang, -miljø, legitimationsoplysninger og tilladte handlinger aftales under partneropstart. Antag ikke, at et internt, udviklings- eller historisk slutpunkt er tilgængeligt i produktion.

Regler for legitimationsoplysninger

• Gem kun klienthemmeligheder og adgangstokens i et sikkert hemmeligt lager på serversiden.
• Gem aldrig legitimationsoplysninger til Git, dokumentation, problemsporing, skærmbilleder eller eksempelapplikationer.
• Send aldrig legitimationsoplysninger til analyse- eller logningsplatforme.
• Brug kun miljøspecifikke legitimationsoplysninger med det miljø, de blev udstedt til.
• Roter en legitimationsoplysninger med det samme, hvis de bliver eksponeret.
• Fjern godkendelsesheadere og tokens fra supportanmodninger.

Browser versus server

Web SDK'et bruger partnerudstedt browserkonfiguration. En klienthemmelighed må ikke inkluderes i browseren.

Serversideintegrationer bør følge godkendelsesflowet og slutpunktsdefinitionerne i den nuværende godkendte API-reference. Når en nødvendig handling mangler, skal den anmodes via Partner Engineering i stedet for at konstruere en udokumenteret rute.

Webhooks

Server-push webhooks er ikke en del af den aktuelt publicerede Web SDK-dokumentation. Bekræft eventuelle webhook-krav, før du designer en afhængighed ud fra dem.

Miljøtjekliste

• [ ] Miljønavnet er dokumenteret.
• [ ] Basis-URL'en kom fra den godkendte reference eller onboarding-overdragelse.
• [ ] Der blev udstedt legitimationsoplysninger til det pågældende miljø.
• [ ] Hemmeligheder gemmes på serversiden.
• [ ] Logfiler redigerer tokens og kundebilleder.
• [ ] Timeouts, genforsøg og idempotensadfærd er blevet aftalt for skriveoperationer.
• [ ] En ikke-produktionstest gennemføres, før produktionsadgang bruges.