API-Zugriff und Authentifizierung

SPREEAI stellt eine öffentliche API-Referenz für genehmigte Partner-Workflows bereit: https://docs.spreeai.com/swagger/public/.

Zugriffsmodell

API-Bereich, Umgebung, Anmeldeinformationen und zulässige Vorgänge werden beim Partner-Onboarding vereinbart. Gehen Sie nicht davon aus, dass ein interner, Entwicklungs- oder historischer Endpunkt in der Produktion verfügbar ist.

Anmelderegeln

Clientgeheimnisse und Zugriffstoken dürfen nur in einem sicheren serverseitigen Geheimnisspeicher abgelegt werden.
Geben Sie niemals Anmeldeinformationen an Git, Dokumentation, Issue-Tracker, Screenshots oder Beispielanwendungen weiter.
Senden Sie niemals Anmeldeinformationen an Analyse- oder Protokollierungsplattformen.
Umgebungsspezifische Anmeldeinformationen dürfen nur in der Umgebung verwendet werden, für die sie ausgestellt wurden.
Tauschen Sie einen Ausweis sofort aus, wenn er offengelegt wird.
Schwärzen Sie Autorisierungsheader und Token aus Supportanfragen.

Browser versus Server

Das Web-SDK verwendet vom Partner bereitgestellte Browserkonfigurationen. Ein Clientgeheimnis darf nicht im Browser enthalten sein.

Serverseitige Integrationen sollten dem Authentifizierungsablauf und den Endpunktdefinitionen der aktuell genehmigten API-Referenz folgen. Falls eine benötigte Operation fehlt, fordern Sie diese bitte über den Partner-Entwicklungssupport an, anstatt eine undokumentierte Route zu erstellen.

Webhooks

Server-Push-Webhooks sind nicht Teil der aktuell veröffentlichten Web-SDK-Dokumentation. Prüfen Sie alle Webhook-Anforderungen, bevor Sie eine Abhängigkeit davon definieren.

Checkliste für die Umwelt

[ ] Der Name der Umgebung ist dokumentiert.
[ ] Die Basis-URL stammt aus der genehmigten Referenz oder der Übergabe beim Onboarding.
[ ] Für diese Umgebung wurden Zugangsdaten ausgestellt.
[ ] Geheimnisse werden serverseitig gespeichert.
[ ] Protokolle schwärzen Tokens und Kundenbilder.
[ ] Für Schreibvorgänge wurden Timeouts, Wiederholungsversuche und Idempotenzverhalten vereinbart.
[ ] Ein Test außerhalb der Produktionsumgebung wird erfolgreich abgeschlossen, bevor der Zugriff auf die Produktionsumgebung genutzt wird.