Uwierzytelnianie
- Authorization: ApiKey
- Klucz API przesyła się wyłącznie w nagłówku Authorization żądania POST /api/v1/auth/token. Nie umieszczaj go w JSON, adresie URL ani parametrach zapytania.
- Authorization: Bearer
- Do operacji na zasobach używaj zwróconego tokenu i odnawiaj go według expires_at; expires_in jest podawane w sekundach.
Dlaczego najpierw token?
Klucz API służy do pobrania tokenu. Token działa przez 15 minut i możesz używać go do wielu żądań. Do zasobów wysyłasz tylko token w nagłówku Authorization: Bearer.
Zwykłe żądania nie zawierają klucza API. Wyciek samego tokenu daje dostęp najwyżej do końca jego ważności. Kradzież klucza nadal może pozwolić pobierać kolejne tokeny.
Jak długo działa token?
- expires_in
- 900 sekund, czyli 15 minut od wystawienia. Wykonywanie żądań nie przedłuża ważności.
- expires_at
- Termin wygaśnięcia w UTC. Aktualne ograniczenia dostępu mogą zablokować token wcześniej.
Kiedy pobrać kolejny token?
Używaj tego samego tokenu do wielu żądań i pobierz następny przed expires_at. Nie pobieraj tokenu przed każdą operacją. Nowy token uzyskasz przy użyciu klucza API.
Odmowa dostępu i ponawianie
- 401
- 401 nie zawsze oznacza wygaśnięcie tokenu. Jeśli token wygasł, pobierz nowy i ponów odczyt najwyżej raz. Jeśli pobranie tokenu zwraca 401, sprawdź klucz i przerwij automatyczne próby.
- 403
- Przy 403 sprawdź uprawnienia, ograniczenia IP i plan. Pobranie nowego tokenu nie przywraca odebranego dostępu.
Ograniczenia IP
- Token dostępu nie omija bieżących uprawnień klucza, uprawnień planu, unieważnienia ani ograniczeń IP.
- W razie potrzeby ogranicz klucz do adresów źródłowych integracji.
- Administrator może edytować listę; można przypisać maksymalnie 32 adresy.
Zarządzanie kluczami
- Zarządzanie kluczami API jest oddzielone od uprawnień integracji do zasobów.
- Tylko owner może nadać grupom uprawnienia administracyjne do podglądu, tworzenia, edycji lub usuwania kluczy; członek uprawnionej grupy może wykonywać jedynie przyznane jej czynności.
Limity zapytań API
Engine ≥ 4.143.0. Każda odpowiedź z tokenem zawiera data.rate_limits z polityki sklepu obowiązującej przy jego wydaniu. Wszystkie klucze współdzielą te budżety; nowy token ich nie resetuje. Zmiana planu może obowiązywać przed wygaśnięciem tokenu.
- read_per_minute
- Zapytania odczytu na minutę.
- write_per_minute
- Zapytania zapisu na minutę; ta wartość nie nadaje uprawnień do zapisu.
- auth_per_minute
- Żądania pobrania tokenu na minutę, także nieudane próby uwierzytelnienia.