Удостоверяване
Научете как сигурно да съхранявате, използвате, подменяте и отменяте API ключове.
Публичният API идентифицира клиентските приложения чрез API ключове. Можете да купите достъп и да управлявате ключовете си от страницата API достъп. Крайните точки за автоматизирано управление изискват токен за сесията на влязъл потребител.
Изпращане на API ключ
Препоръчителният начин е X-API-Key:
X-API-Key: pi_live_…Клиенти, които не могат да зададат собствена HTTP заглавка, могат да използват и стандартната схема Bearer:
Authorization: Bearer pi_live_…Не изпращайте и двете заглавки едновременно. Не включвайте ключ в URL адрес или параметър на заявката, тъй като той може да попадне в системни дневници или в историята на браузъра.
Пазете ключовете на сървъра
- Съхранявайте ключовете в услуга за управление на тайни или в защитена променлива на средата.
- Предоставяйте ключа на сървърния процес едва при изпълнение на приложението.
- Премахвайте стойностите на
X-API-KeyиAuthorizationот системните дневници и докладите за грешки. - Използвайте отделен ключ за всяка среда и интеграция.
- Подменете ключа незабавно, ако попадне в изходен код, съобщение до екипа за поддръжка или клиентско приложение.
В момента API издава само продукционни ключове с префикс pi_live_…. Поради това изпълнението на заявки директно от интерактивната справка е изключено, докато не бъдат налични отделни тестови ключове и изолирана тестова среда.
Жизнен цикъл на ключа
Пълната стойност на нов ключ се показва само веднъж. Правен Интелект съхранява единствено неговия SHA-256 хеш. Списъкът с ключове съдържа име, префикс, план, статус и времеви данни, но никога самата тайна стойност.
Отмяната влиза в сила веднага за процеса, който обработва заявката, и до 60 секунди за останалите екземпляри на услугата, след като изтече кешът за удостоверяване. При подмяна на ключ:
- Създайте новия ключ.
- Въведете го в приложението, което използва API.
- Потвърдете успешни заявки с новия ключ.
- Отменете стария ключ.
Удостоверяване при управление на ключове
POST /v1/keys, GET /v1/keys и POST /v1/keys/{key_id}/revoke изискват Supabase Bearer токен за сесията на влязъл потребител на Правен Интелект. Тези крайни точки не приемат API ключ. За обичайна работа използвайте страницата API достъп, която изпраща заявките от името на влезлия потребител. Ако автоматизирате управлението, извиквайте крайните точки само от доверен сървърен процес. Не включвайте токена за потребителска сесия в кода, който използва API ключа за правни заявки.
GET /v1/account и PATCH /v1/account/overages използват същото удостоверяване чрез потребителската сесия. Втората крайна точка управлява единствено дали е разрешено допълнително потребление и какъв е месечният лимит за него; единичните цени се определят от сървъра и не могат да бъдат променяни от клиента.
Грешки при удостоверяване
| Код | Значение | Действие |
|---|---|---|
missing_api_key | Липсва поддържана заглавка с ключ. | Добавете X-API-Key или използвайте схемата Bearer. |
invalid_api_key | Форматът е невалиден или ключът е неизвестен. | Проверете внедрената тайна; не повтаряйте същата заявка. |
revoked_api_key | Ключът е деактивиран. | Заменете го с активен ключ. |
И в трите случая API връща HTTP 401 в стандартния формат за грешки.