Autenticazione
- Authorization: ApiKey
- La chiave API viene inviata esclusivamente nell’header Authorization di POST /api/v1/auth/token. Non inserirla nel JSON, nell’URL o nei parametri di query.
- Authorization: Bearer
- Usa il token restituito per le richieste alle risorse e rinnovalo in base a expires_at; expires_in è espresso in secondi.
Perché ottenere prima un token?
La chiave API serve a ottenere un token. Il token è valido per 15 minuti e può essere usato per più richieste. Per accedere alle risorse, invia solo il token nell’header Authorization: Bearer.
Le richieste ordinarie non contengono la chiave API. Un token divulgato consente l’accesso al massimo fino alla sua scadenza. Una chiave API rubata può comunque consentire di ottenere nuovi token.
Quanto dura un token?
- expires_in
- 900 secondi, cioè 15 minuti dall’emissione. Le richieste non ne prolungano la validità.
- expires_at
- Data e ora di scadenza in UTC. Le restrizioni di accesso attuali possono bloccare il token prima.
Quando ottenere un nuovo token?
Riutilizza lo stesso token per più richieste e ottienine un altro prima di expires_at. Non richiederne uno prima di ogni operazione. Usa la chiave API per ottenere il nuovo token.
Accesso negato e nuovi tentativi
- 401
- 401 non significa sempre che il token sia scaduto. Se è scaduto, ottienine uno nuovo e ripeti la lettura al massimo una volta. Se la richiesta del token restituisce 401, verifica la chiave e interrompi i tentativi automatici.
- 403
- In caso di 403, verifica i permessi, le restrizioni IP e il piano. Un nuovo token non ripristina un accesso revocato.
Restrizioni IP
- Un token non permette di ignorare i permessi attuali della chiave, i diritti del negozio, le revoche o le restrizioni IP.
- Se opportuno, limita la chiave agli indirizzi di origine dell’integrazione.
- Un amministratore può modificare l’elenco, che accetta al massimo 32 indirizzi.
Gestione delle chiavi
- La gestione delle chiavi API è distinta dai permessi sulle risorse.
- Solo owner può assegnare ai gruppi i permessi amministrativi per visualizzare, creare, modificare o eliminare chiavi.
- Un membro autorizzato può eseguire soltanto le azioni concesse al suo gruppo.
Limiti di frequenza
Engine ≥ 4.143.0. Ogni risposta del token include data.rate_limits dalla politica del negozio al momento dell’emissione. Tutte le chiavi condividono questi limiti; un nuovo token non li azzera. Un cambio di piano può applicarsi prima della scadenza del token.
- read_per_minute
- Richieste di lettura al minuto.
- write_per_minute
- Richieste di scrittura al minuto; questo valore non concede permessi di scrittura.
- auth_per_minute
- Richieste di token al minuto, inclusi i tentativi di autenticazione non riusciti.