Доступ к API и аутентификация

SPREEAI предоставляет общедоступную справочную информацию по API для утвержденных рабочих процессов партнеров: https://docs.spreeai.com/swagger/public/.

Модель доступа

Объем API, среда, учетные данные и разрешенные операции согласовываются во время регистрации партнера. Не предполагайте, что в производстве доступна внутренняя, разработка или историческая конечная точка.

Правила учетных данных

• Храните секретные ключи клиентов и токены доступа только в защищенном хранилище секретных ключей на стороне сервера.
• Никогда не передавайте учетные данные в Git, документацию, системы отслеживания ошибок, скриншоты или примеры приложений.
• Никогда не отправляйте учетные данные на аналитические или платформы для ведения журналов.
• Используйте учетные данные, специфичные для конкретной среды, только в той среде, для которой они были выданы.
• В случае утечки учетных данных немедленно замените их.
• Удалите заголовки авторизации и токены из запросов в службу поддержки.

Браузер против сервера

Веб-SDK использует конфигурацию браузера, предоставленную партнёром. Секретный ключ клиента не должен быть включен в браузер.

Интеграция на стороне сервера должна соответствовать процессу аутентификации и определениям конечных точек, указанным в текущем утвержденном справочнике API. Если необходимая операция отсутствует, запросите ее через службу поддержки партнеров, а не создавайте недокументированный маршрут.

Вебхуки

Веб-хуки, отправляющие данные на сервер, не входят в текущую опубликованную документацию Web SDK. Перед разработкой зависимости от веб-хука необходимо подтвердить его необходимость.

Контрольный список по охране окружающей среды

• [ ] Название среды задокументировано.
• [ ] Базовый URL-адрес получен из утвержденного справочного материала или информации, переданной при приеме на работу.
• [ ] Для этой среды были выданы учетные данные.
• [ ] Секреты хранятся на стороне сервера.
• [ ] Журналы удаляют токены и изображения клиентов.
• [ ] Для операций записи согласованы тайм-ауты, повторные попытки и поведение идемпотентности.
• [ ] Непроизводственный тест должен быть успешно пройден до того, как будет использован доступ к производственной среде.