Dostęp do API i uwierzytelnianie

SPREEAI udostępnia publiczne odniesienie do interfejsu API dla zatwierdzonych przepływów pracy partnerów: https://docs.spreeai.com/swagger/public/.

Model dostępu

Zakres API, środowisko, dane uwierzytelniające i dozwolone operacje są uzgadniane podczas wdrażania partnera. Nie zakładaj, że wewnętrzny, rozwojowy lub historyczny punkt końcowy jest dostępny w środowisku produkcyjnym.

Zasady dotyczące poświadczeń

• Przechowuj tajne dane klientów i tokeny dostępu wyłącznie w bezpiecznym magazynie tajnych danych po stronie serwera.
• Nigdy nie udostępniaj swoich danych uwierzytelniających w systemie Git, dokumentacji, systemach śledzenia problemów, zrzutach ekranu ani przykładowych aplikacjach.
• Nigdy nie wysyłaj danych uwierzytelniających do platform analitycznych lub rejestrujących dane.
• Używaj poświadczeń specyficznych dla środowiska tylko w tym środowisku, dla którego zostały wydane.
• W przypadku ujawnienia danych uwierzytelniających należy je natychmiast wymienić.
• Usuń nagłówki autoryzacyjne i tokeny z żądań pomocy technicznej.

Przeglądarka kontra serwer

Web SDK korzysta z konfiguracji przeglądarki udostępnionej przez partnera. W przeglądarce nie wolno umieszczać tajnego klucza klienta.

Integracje po stronie serwera powinny być zgodne z przepływem uwierzytelniania i definicjami punktów końcowych zawartymi w aktualnym, zatwierdzonym dokumencie API. W przypadku braku potrzebnej operacji, należy zażądać jej za pośrednictwem Partner Engineering, zamiast konstruować nieudokumentowaną ścieżkę.

Webhooki

Webhooki typu server-push nie są częścią aktualnie opublikowanej dokumentacji Web SDK. Przed zaprojektowaniem zależności od webhooków należy potwierdzić ich wymagania.

Lista kontrolna środowiska

• [ ] Nazwa środowiska jest udokumentowana.
• [ ] Podstawowy adres URL pochodzi z zatwierdzonego odniesienia lub przekazania wprowadzającego.
• [ ] Wydano poświadczenia dla tego środowiska.
• [ ] Sekrety są przechowywane po stronie serwera.
• [ ] Rejestruje tokeny i obrazy klientów.
• [ ] Uzgodniono limity czasu, ponowne próby i zachowanie idempotentności dla operacji zapisu.
• [ ] Test nieprodukcyjny kończy się pomyślnie przed użyciem dostępu produkcyjnego.