Chei și autentificare
Un magazin are două tipuri de cheie, iar API-ul este împărțit între ele. Cheia publică se află în pagina magazinului și poate face doar ce face un cumpărător. Cheia secretă rămâne pe serverul dumneavoastră și este singura care poate confirma un preț.
Căile, numele câmpurilor, codurile de eroare, numele anteturilor și exemplele de cod rămân în engleză: ele sunt contractul.
Cheia publică și cheia secretă
Cheia publică circulă în URL ca ?key=. Este publică prin concepție: se află în sursa paginii dumneavoastră și funcționează doar de la originile listate pe ea. Cheia secretă circulă ca Authorization: Bearer <key> și este doar pentru serverul dumneavoastră. Un browser nici măcar nu o poate trimite serviciului: Authorization nu se află în lista de permisiuni CORS.
| Cheie | Antet | Cale |
|---|---|---|
| publică | ?key=pk_… | GET /cfg/v1/config/public · GET /cfg/v1/catalog/search · POST /cfg/v1/preview · POST /cfg/v1/quote · POST /cfg/v1/order · POST /cfg/v1/projects · GET /cfg/v1/projects · GET /cfg/v1/projects/{id} · POST /cfg/v1/projects/{id} · POST /cfg/v1/projects/{id}/duplicate · POST /cfg/v1/projects/{id}/reorder |
| secretă | Authorization: Bearer sk_… | POST /cfg/v1/quote/verify · GET /cfg/v1/orders/{id} |
Origini permise
Fiecare cheie publică poartă o listă de cel mult 20 origini: schemă, gazdă și port exact așa cum le trimite browserul, de exemplu https://shop.example.com. O cerere de la orice altă origine este refuzată cu 403 origin_not_allowed, inclusiv cererea preflight, iar serviciul nu răspunde niciodată cu Access-Control-Allow-Origin: *. Lista este un semnal, nu autentificare: adevăratele apărări sunt prețul calculat pe server și limitele de cereri.
Chei de test
Un magazin activ poate crea până la 3 chei de test (pk_test_…, sk_test_…). O cheie de test calculează prețurile pe cea mai nouă ciornă validată a dumneavoastră, astfel încât puteți încerca o modificare înainte de a o publica. Nu este facturată, comenzile ei nu trimit niciun webhook și niciun e-mail și expiră după 30 zile. Testul și producția nu se amestecă niciodată: o ofertă de test se verifică doar cu o cheie secretă de test, o comandă de test este vizibilă doar pentru o cheie de test, iar o cheie live nu vede niciuna. O cheie de test poate lista http://localhost ca origine.
Tokenul de proiect
Proiectele salvate sunt legate de un cumpărător, nu de un cont. Primul POST /cfg/v1/projects emite un token aleatoriu (cfgpt_…) și îl returnează o singură dată; integrarea îl păstrează și îl trimite ca X-Cfg-Project-Token la fiecare apel ulterior de proiect. Tokenul altui cumpărător, cheia altui magazin și un id necunoscut răspund toate cu același 404.
Rotație fără întreruperi
Rotația se face în consolă, iar fiecare tip are o perioadă de suprapunere, astfel încât nimic să nu se rupă în timpul trecerii.
- Cheia publică: cheia nouă păstrează aceeași listă de origini; cea veche continuă să funcționeze 168 ore în mod implicit (cel mult 720).
- Cheia secretă: afișată o singură dată; cheia veche continuă să autentifice 24 ore în mod implicit (cel mult 720).
- Cheia de semnare a ofertelor: cheia nouă semnează din acel moment; ofertele semnate de cheia veche se verifică în continuare și pot fi comandate încă până la 31 zile.
- Secretul webhookului: în timpul unei treceri, ambele secrete semnează fiecare livrare timp de 7 zile, ca două valori
v1=, astfel încât receptorul dumneavoastră să le poată accepta pe oricare.
Ce nu ajunge niciodată într-un browser
Cheia secretă și secretul webhookului (whsec_…). Păstrați-le în mediul serverului dumneavoastră, niciodată într-o pagină, un depozit sau un jurnal. Dacă una s-a scurs, rotiți-o în consolă.
Aici nu există intenționat un buton „încearcă”: cheia secretă aparține serverului dumneavoastră, niciodată unui browser. Magazinul demo arată integrarea și predarea comenzii funcționând de la cap la coadă.
JuridicTermenii configuratorului (EN) ·Acord de prelucrare a datelor (EN) ·Notă de confidențialitate pentru cumpărători ·Licențe terțe (EN)