API-tilgang og autentisering

SPREEAI tilbyr en offentlig API-referanse for godkjente partnerarbeidsflyter: https://docs.spreeai.com/swagger/public/.

Tilgangsmodell

API-omfang, miljø, legitimasjon og tillatte operasjoner avtales under partnerintegrering. Ikke anta at et internt, utviklingsmessig eller historisk endepunkt er tilgjengelig i produksjon.

Regler for legitimasjon

• Lagre klienthemmeligheter og tilgangstokener kun i et sikkert hemmelig lager på serversiden.
• Aldri overfør legitimasjon til Git, dokumentasjon, problemsporing, skjermbilder eller eksempelapplikasjoner.
• Send aldri legitimasjon til analyse- eller loggplattformer.
• Bruk miljøspesifikk legitimasjon bare med miljøet de ble utstedt for.
• Roter en legitimasjon umiddelbart hvis den blir eksponert.
• Fjern autorisasjonsoverskrifter og tokener fra støtteforespørsler.

Nettleser kontra server

Web SDK bruker partnerutstedt nettleserkonfigurasjon. En klienthemmelighet må ikke inkluderes i nettleseren.

Serversideintegrasjoner bør følge autentiseringsflyten og endepunktdefinisjonene i den gjeldende godkjente API-referansen. Når en nødvendig operasjon mangler, ber du om den via Partner Engineering i stedet for å konstruere en udokumentert rute.

Webhooks

Server-push webhooks er ikke en del av den publiserte dokumentasjonen for Web SDK. Bekreft eventuelle webhook-krav før du utformer en avhengighet basert på dem.

Miljø-sjekkliste

• [ ] Miljønavnet er dokumentert.
• [ ] Basis-URL-en kom fra den godkjente referansen eller onboarding-overleveringen.
• [ ] Det ble utstedt legitimasjon for det miljøet.
• [ ] Hemmeligheter lagres på serversiden.
• [ ] Logger redigerer tokener og kundebilder.
• [ ] Tidsavbrudd, nye forsøk og idempotens-atferd er avtalt for skriveoperasjoner.
• [ ] En ikke-produksjonstest fullføres før produksjonstilgang brukes.