Accesso e autenticazione API

SPREEAI fornisce un riferimento API pubblico per i flussi di lavoro dei partner approvati: https://docs.spreeai.com/swagger/public/.

Modello di accesso

L'ambito dell'API, l'ambiente, le credenziali e le operazioni consentite vengono concordati durante l'onboarding del partner. Non dare per scontato che un endpoint interno, di sviluppo o storico sia disponibile in produzione.

Regole relative alle credenziali

• Archivia i segreti dei client e i token di accesso esclusivamente in un archivio di segreti sicuro lato server.
• Non pubblicare mai le credenziali su Git, nella documentazione, nei sistemi di tracciamento dei bug, negli screenshot o nelle applicazioni di esempio.
• Non inviare mai le credenziali a piattaforme di analisi o di registrazione.
• Utilizzare le credenziali specifiche dell'ambiente esclusivamente nell'ambiente per il quale sono state emesse.
• Se una credenziale risulta esposta, ruotala immediatamente.
• Oscurare le intestazioni e i token di autorizzazione dalle richieste di supporto.

Browser contro server

L'SDK Web utilizza la configurazione del browser fornita dal partner. Non è necessario includere un client secret nel browser.

Le integrazioni lato server devono seguire il flusso di autenticazione e le definizioni degli endpoint specificati nella documentazione API attualmente approvata. Qualora un'operazione necessaria non sia disponibile, è necessario richiederla al team di Partner Engineering anziché creare un percorso non documentato.

webhook

I webhook di tipo server-push non sono inclusi nella documentazione dell'SDK Web attualmente pubblicata. Verificare l'esistenza di eventuali requisiti relativi ai webhook prima di configurarli come dipendenze.

Lista di controllo ambientale

• [ ] Il nome dell'ambiente è documentato.
• [ ] L'URL di base proviene dal riferimento approvato o dal passaggio di consegne onboarding.
• [ ] Sono state rilasciate le credenziali per quell'ambiente.
• [ ] I segreti vengono memorizzati lato server.
• [ ] I registri oscurano i token e le immagini dei clienti.
• [ ] Sono stati concordati timeout, tentativi e comportamento di idempotenza per le operazioni di scrittura.
• [ ] Un test non di produzione ha esito positivo prima che venga utilizzato l'accesso alla produzione.