Автентифікація
- Authorization: ApiKey
- API-ключ передається виключно в заголовку Authorization запиту POST /api/v1/auth/token. Не додавайте його до JSON, URL або параметрів запиту.
- Authorization: Bearer
- Для роботи з ресурсами використовуйте отриманий токен і поновлюйте його відповідно до expires_at; expires_in указано в секундах.
Навіщо спочатку отримувати токен?
Ключ API потрібен для отримання токена. Токен діє 15 хвилин і підходить для кількох запитів. До ресурсів надсилайте лише токен у заголовку Authorization: Bearer.
Звичайні запити не містять ключа API. Викрадений токен надає доступ щонайдовше до завершення його строку дії. Викрадений ключ API усе ще може дозволяти отримувати нові токени.
Скільки часу діє токен?
- expires_in
- 900 секунд, тобто 15 хвилин від моменту видачі. Виконання запитів не подовжує строк дії.
- expires_at
- Час завершення дії в UTC. Поточні обмеження доступу можуть заблокувати токен раніше.
Коли отримувати наступний токен?
Використовуйте один токен для кількох запитів і отримайте наступний до expires_at. Не отримуйте токен перед кожною операцією. Для нового токена використовуйте ключ API.
Відмова в доступі та повторні спроби
- 401
- 401 не завжди означає завершення дії токена. Якщо строк минув, отримайте новий токен і повторіть читання щонайбільше один раз. Якщо отримання токена повертає 401, перевірте ключ і зупиніть автоматичні спроби.
- 403
- У разі 403 перевірте дозволи, обмеження IP і тариф. Новий токен не відновлює скасований доступ.
Обмеження IP
- Токен доступу не обходить поточні дозволи ключа, права магазину, відкликання ключа чи обмеження IP.
- За потреби обмежте ключ адресами, з яких працює інтеграція.
- Адміністратор може змінювати цей список; дозволено щонайбільше 32 адреси.
Керування ключами
- Керування API-ключами відокремлене від дозволів інтеграції на ресурси.
- Лише owner може надавати групам адміністративні дозволи на перегляд, створення, редагування та видалення ключів.
- Учасник уповноваженої групи може виконувати лише дії, дозволені цій групі.
Обмеження частоти запитів
Engine ≥ 4.143.0. Кожна відповідь із токеном містить data.rate_limits з політики магазину на момент видачі. Усі ключі спільно використовують ці ліміти; новий токен їх не скидає. Зміна плану може діяти до завершення строку токена.
- read_per_minute
- Запити читання за хвилину.
- write_per_minute
- Запити запису за хвилину; це значення не надає прав запису.
- auth_per_minute
- Запити токена за хвилину, включно з невдалими спробами автентифікації.