Acceso a la API y autenticación
SPREEAI proporciona una referencia de API pública para los flujos de trabajo de socios aprobados: https://docs.spreeai.com/swagger/public/.
Modelo de acceso
El alcance de la API, el entorno, las credenciales y las operaciones permitidas se acuerdan durante la incorporación del socio. No dé por sentado que un punto final interno, de desarrollo o histórico está disponible en producción.
Reglas de credenciales
- Almacene los secretos de los clientes y los tokens de acceso únicamente en un almacén de secretos seguro del lado del servidor.
- Nunca incluyas credenciales en Git, documentación, sistemas de seguimiento de incidencias, capturas de pantalla o aplicaciones de ejemplo.
- Nunca envíe credenciales a plataformas de análisis o registro de datos.
- Utilice las credenciales específicas del entorno únicamente con el entorno para el que fueron emitidas.
- Si una credencial queda expuesta, cámbiela inmediatamente.
- Elimine los encabezados de autorización y los tokens de las solicitudes de soporte.
Navegador versus servidor
El SDK web utiliza la configuración del navegador proporcionada por el socio. No se debe incluir una clave secreta de cliente en el navegador.
Las integraciones del lado del servidor deben seguir el flujo de autenticación y las definiciones de puntos finales de la referencia de API aprobada vigente. Si falta alguna operación necesaria, solicítela a través del equipo de ingeniería de socios en lugar de crear una ruta no documentada.
Webhooks
Los webhooks de envío de datos desde el servidor no forman parte de la documentación del SDK web publicada actualmente. Confirme cualquier requisito de webhook antes de diseñar una dependencia que lo utilice.
Lista de verificación del medio ambiente
- [ ] El nombre del entorno está documentado.
- [ ] La URL base provino de la referencia aprobada o de la transferencia de incorporación.
- [ ] Se emitieron credenciales para ese entorno.
- [ ] Los secretos se almacenan en el servidor.
- [ ] Los registros ocultan los tokens y las imágenes de los clientes.
- [ ] Se han acordado tiempos de espera, reintentos y comportamiento de idempotencia para las operaciones de escritura.
- [ ] Una prueba de no producción se realiza con éxito antes de que se utilice el acceso de producción.