API アクセスと認証

SPREEAI は、承認済みのパートナーワークフローに関する公開 API リファレンスを提供します。 https://docs.spreeai.com/swagger/public/.

アクセスモデル

API スコープ、環境、認証情報、および許可される操作は、パートナーのオンボーディング中に合意されます。内部エンドポイント、開発エンドポイント、または過去のエンドポイントが運用環境で利用できるとは想定しないでください。

資格情報ルール

• クライアントの秘密情報とアクセストークンは、安全なサーバー側の秘密情報ストアにのみ保存してください。
• Git、ドキュメント、問題トラッカー、スクリーンショット、またはサンプル アプリケーションに資格情報を決してコミットしないでください。
• 認証情報を分析プラットフォームやログ プラットフォームに送信しないでください。
• 環境固有の認証情報は、発行された環境でのみ使用してください。
• 認証情報が公開された場合は、直ちに認証情報をローテーションします。
• サポートリクエストの認証ヘッダーとトークンを編集します。

ブラウザ対サーバー

Web SDKは、パートナーから提供されるブラウザ設定を使用します。クライアントシークレットはブラウザに含めてはいけません。

サーバーサイドの統合は、現在承認されているAPIリファレンスに記載されている認証フローとエンドポイント定義に従う必要があります。必要な操作がない場合は、ドキュメント化されていないルートを作成するのではなく、パートナーエンジニアリングを通じてリクエストしてください。

ウェブフック

サーバープッシュ型Webhookは、現在公開されているWeb SDKドキュメントには含まれていません。Webhookに依存する設計を行う前に、必要なWebhook要件を必ず確認してください。

環境チェックリスト

• [ ] 環境名は文書化されています。
• [ ] ベース URL は、承認された参照またはオンボーディングの引き継ぎから取得されました。
• [ ] その環境用の認証情報が発行されました。
• [ ] シークレットはサーバー側に保存されます。
• [ ] ログからトークンと顧客の画像を削除します。
• [ ] 書き込み操作におけるタイムアウト、再試行、および冪等性の動作について合意がなされています。
• [ ] 本番環境へのアクセスを使用する前に、非本番環境テストが成功します。