API
Autoryzacja
Zasady autoryzacji, scope kluczy API i wymagania bezpieczeństwa dla integracji z Wojticore.
Autoryzacja
Zasady autoryzacji, scope kluczy API i wymagania bezpieczeństwa dla integracji z Wojticore.
Autoryzacja
Autoryzacja API w Wojticore opiera się na kluczu API. Najważniejsze jest użycie właściwego typu klucza i poprawnego zakresu dostępu.
Typy kluczy API
W systemie działają dwa typy kluczy API:
- klucze platformowe (dla operacji globalnych),
- klucze tenantowe (dla pojedynczego serwisu).
Klucz tenantowy może odczytywać tylko zasoby z własnej przestrzeni /api/v1/tenants/{tenant}/... i nie ma dostępu do endpointów platformowych.
Nagłówki autoryzacyjne
API akceptuje oba warianty:
x-api-key: wk_live_...Authorization: Bearer wk_live_...Scope i ograniczenia
Klucz platformowy
- działa na endpointach platformowych,
- może wykonywać operacje administracyjne platformy,
- powinien być przechowywany wyłącznie po stronie serwera.
Klucz tenantowy
- działa tylko w kontekście przypisanego tenanta,
- przy żądaniu do innego tenanta zwraca
403 tenant_key_tenant_mismatch, - jest przeznaczony do integracji serwisu z zewnętrznymi narzędziami.
Jak dobrać klucz
- użyj klucza tenantowego, jeśli integracja ma pracować tylko dla jednego serwisu,
- użyj klucza platformowego tylko wtedy, gdy potrzebujesz operacji globalnych,
- trzymaj klucz po stronie serwera lub w bezpiecznym systemie integracyjnym.
Praktyka bezpieczeństwa
- rotuj klucze API przy zmianach zespołu lub incydentach,
- nie umieszczaj kluczy w kodzie frontendowym,
- loguj identyfikator żądania, endpoint i kod odpowiedzi,
- waliduj odpowiedzi i błędy po stronie integratora (szczególnie 401/403/429).