גישה ואימות ל-API

SPREEAI מספק הפניה ציבורית של API עבור זרימות עבודה של שותפים שאושרו: https://docs.spreeai.com/swagger/public/.

מודל גישה

היקף ה-API, הסביבה, האישורים והפעולות המותרות מוסכמים במהלך קליטת השותף. אין להניח שנקודת קצה פנימית, פיתוחית או היסטורית זמינה בייצור.

כללי אישורים

• אחסן סודות לקוח ואסימוני גישה רק במאגר סודות מאובטח בצד השרת.
• לעולם אל תעבירו אישורים ל-Git, תיעוד, עוקבי בעיות, צילומי מסך או יישומים לדוגמה.
• לעולם אל תשלחו אישורים לפלטפורמות ניתוח או רישום.
• השתמש באישורים ספציפיים לסביבה רק עם הסביבה שעבורה הם הונפקו.
• סובב אישור באופן מיידי אם הוא נחשף.
• מחיקת כותרות וטוקנים של הרשאות מבקשות תמיכה.

דפדפן לעומת שרת

ערכת פיתוח התוכנה של האינטרנט משתמשת בתצורת דפדפן שהונפקה על ידי שותפים. אסור לכלול סוד לקוח בדפדפן.

אינטגרציות בצד השרת צריכות לפעול לפי זרימת האימות והגדרות נקודות הקצה בהפניה הנוכחית של ה-API שאושרה. כאשר פעולה נדרשת חסרה, יש לבקש אותה דרך Partner Engineering במקום לבנות נתיב לא מתועד.

וובו-ווים

Webhooks של דחיפה לשרת אינם חלק מתיעוד Web SDK שפורסם כעת. יש לאשר כל דרישת Webhook לפני תכנון תלות עליו.

רשימת בדיקה סביבתית

• [ ] שם הסביבה מתועד.
• [ ] כתובת ה-URL הבסיסית הגיעה מההפניה שאושרה או מהמסירה המשולבת.
• [ ] הונפקו אישורים עבור סביבה זו.
• [ ] סודות מאוחסנים בצד השרת.
• [ ] יומני רישום, הסרת טוקנים ותמונות של לקוחות.
• [ ] הוסכמו פסקי זמן, ניסיונות חוזרים והתנהגות אי-מפוטנטיות עבור פעולות כתיבה.
• [ ] בדיקה שאינה קשורה לביצועים מבוצעת בהצלחה לפני שנעשה שימוש בגישת גישה לביצועים.