Kulcsok és hitelesítés
A webshopnak kétféle kulcsa van, és az API ezek szerint oszlik meg. A publikus kulcs a webshop oldalán áll, és csak azt teheti, amit a vásárló. A titkos kulcs a szervereden marad, és csak vele erősíthető meg egy ár.
Az elérési utak, mezőnevek, hibakódok, fejlécnevek és kódpéldák angolul maradnak: ezek jelentik a szerződést.
Publikus kulcs és titkos kulcs
A publikus kulcs az URL-ben utazik ?key= formában. Szándékosan publikus: ott van az oldalad forrásában, és csak a rajta felsorolt originekről működik. A titkos kulcs Authorization: Bearer <key> formában utazik, és kizárólag a szervereden használható. Egy böngésző el sem tudja küldeni a szolgáltatásnak: az Authorization nincs a CORS engedélylistán.
| Kulcs | Fejléc | Útvonal |
|---|---|---|
| publikus | ?key=pk_… | GET /cfg/v1/config/public · GET /cfg/v1/catalog/search · POST /cfg/v1/preview · POST /cfg/v1/quote · POST /cfg/v1/order · POST /cfg/v1/projects · GET /cfg/v1/projects · GET /cfg/v1/projects/{id} · POST /cfg/v1/projects/{id} · POST /cfg/v1/projects/{id}/duplicate · POST /cfg/v1/projects/{id}/reorder |
| titkos | Authorization: Bearer sk_… | POST /cfg/v1/quote/verify · GET /cfg/v1/orders/{id} |
Engedélyezett originek
Minden publikus kulcs legfeljebb 20 origint tartalmazhat: séma, host és port pontosan úgy, ahogy a böngésző küldi, például https://shop.example.com. Bármely más originről érkező kérést a szolgáltatás 403 origin_not_allowed hibával utasít el, a preflightot is beleértve, és soha nem válaszol Access-Control-Allow-Origin: * fejléccel. A lista jelzés, nem hitelesítés: az igazi védelmet a szerveroldali ár és a kéréskorlátok jelentik.
Teszt kulcsok
Egy éles webshop legfeljebb 3 teszt kulcsot hozhat létre (pk_test_…, sk_test_…). A teszt kulcs a legújabb érvényesített vázlatodon számol árat, így egy változtatást kipróbálhatsz a közzététele előtt. Nem kerül számlázásra, a rendelései nem küldenek webhookot és e-mailt, és 30 nap után lejár. A teszt és az éles soha nem keveredik: a teszt ajánlat csak teszt titkos kulccsal ellenőrizhető, a teszt rendelés csak teszt kulcsnak látható, az éles kulcs pedig soha nem látja. A teszt kulcs originként megadhatja a http://localhost címet.
A projekttoken
A mentett projektek a vásárlóhoz tartoznak, nem egy bejelentkezéshez. Az első POST /cfg/v1/projects egy véletlenszerű tokent (cfgpt_…) bocsát ki, és csak egyszer adja vissza; a beágyazás megőrzi, és minden további projekthívásnál X-Cfg-Project-Token fejlécként elküldi. Másik vásárló tokenje, másik webshop kulcsa és ismeretlen azonosító ugyanazt a 404 választ kapja.
Kulcscsere leállás nélkül
A kulcscsere a konzolban történik, és minden fajtának van átfedése, hogy az átállás közben semmi ne romoljon el.
- Publikus kulcs: az új kulcs ugyanazt az origin-listát kapja; a régi alapértelmezés szerint még 168 órán át működik (legfeljebb 720).
- Titkos kulcs: csak egyszer jelenik meg; a régi kulcs alapértelmezés szerint még 24 órán át hitelesít (legfeljebb 720).
- Ajánlat-aláíró kulcs: az új kulcs mostantól ír alá; a régi kulccsal aláírt ajánlatok továbbra is ellenőrizhetők, és legfeljebb 31 napig még megrendelhetők.
- Webhook titok: az átállás alatt mindkét titok aláírja az egyes kézbesítéseket 7 napig, két
v1=értékként, így a fogadód bármelyiket kezelheti.
Ami soha nem kerülhet böngészőbe
A titkos kulcs és a webhook titok (whsec_…). Tartsd őket a szervered környezetében, soha ne oldalon, tárolóban vagy naplóban. Ha egyik kiszivárog, cseréld le a konzolban.
Szándékosan nincs itt "kipróbálom" gomb: a titkos kulcs a szerveredre való, soha nem a böngészőbe. A demó webshop elejétől végéig megmutatja a beágyazást és a rendelés átadását.
Jogi tudnivalókKonfigurátor feltételek (EN) ·Adatfeldolgozási szerződés (EN) ·Vásárlói adatvédelmi tájékoztató ·Harmadik féltől származó licencek (EN)