Accès et authentification API

SPREEAI fournit une référence API publique pour les flux de travail des partenaires approuvés : https://docs.spreeai.com/swagger/public/.

Modèle d'accès

Le périmètre de l'API, son environnement, ses identifiants et les opérations autorisées sont définis lors de l'intégration du partenaire. Ne présumez pas qu'un point de terminaison interne, de développement ou historique soit disponible en production.

Règles d'accréditation

• Stockez les secrets clients et les jetons d'accès uniquement dans un système de stockage de secrets sécurisé côté serveur.
• Ne jamais consigner d'identifiants dans Git, la documentation, les outils de suivi des problèmes, les captures d'écran ou les exemples d'applications.
• Ne transmettez jamais vos identifiants aux plateformes d'analyse ou de journalisation.
• N’utilisez les identifiants spécifiques à l’environnement qu’avec l’environnement pour lequel ils ont été émis.
• Changez immédiatement toute information d'identification exposée.
• Supprimer les en-têtes et les jetons d'autorisation des demandes d'assistance.

Navigateur contre serveur

Le kit de développement logiciel Web utilise la configuration du navigateur fournie par le partenaire. Aucune clé secrète client ne doit être incluse dans le navigateur.

Les intégrations côté serveur doivent respecter le flux d'authentification et les définitions des points de terminaison de la documentation API approuvée. Si une opération nécessaire est absente, veuillez la demander à l'équipe d'ingénierie partenaire plutôt que de créer une route non documentée.

Webhooks

Les webhooks de type « server-push » ne font pas partie de la documentation du SDK Web actuellement publiée. Veuillez vérifier toute exigence relative aux webhooks avant d'en implémenter une dépendance.

Liste de contrôle environnementale

• [ ] Le nom de l'environnement est documenté.
• [ ] L'URL de base provenait de la référence approuvée ou du transfert d'intégration.
• Des identifiants ont été émis pour cet environnement.
• Les secrets sont stockés côté serveur.
• [ ] Consigne les jetons de suppression et les images des clients.
• [ ] Des délais d'attente, des tentatives de nouvelle écriture et un comportement d'idempotence ont été convenus pour les opérations d'écriture.
• [ ] Un test hors production réussit avant que l'accès en production ne soit utilisé.