Преглед на удостоверяването

Това ръководство обяснява как да се удостоверите пред нашия API. Поддържаме няколко метода за удостоверяване:

API ключове

Най-простият метод за удостоверяване е използването на API ключове. Всеки API ключ е свързан с конкретен потребител и има конкретни права.

// Example API Key request
const response = await fetch('https://api.example.com/data', {
  headers: {
    'Authorization': 'Bearer YOUR_API_KEY'
  }
});

OAuth 2.0

За приложения с по-високи изисквания към сигурността поддържаме потока за удостоверяване OAuth 2.0:

1. Заявка за оторизация: пренасочете потребителите към нашия URL за оторизация
2. Съгласие на потребителя: потребителят одобрява достъпа до своя акаунт
3. Код за оторизация: нашият сървър връща код за оторизация
4. Размяна на токена: разменете кода за токен за достъп
5. Заявки към API: използвайте токена за достъп до защитените ресурси

JWT токени

След удостоверяване издаваме JWT токени, които съдържат кодирана информация за потребителя и неговите права.

// Example JWT token usage
const response = await fetch('https://api.example.com/protected-resource', {
  headers: {
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  }
});

Управление на сесиите

По подразбиране сесиите са валидни 24 часа. За да подновите сесия:

const refreshResponse = await fetch('https://api.example.com/auth/refresh', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': 'Bearer CURRENT_REFRESH_TOKEN'
  }
});

// Parse the new tokens
const { accessToken, refreshToken } = await refreshResponse.json();

Добри практики

1. Никога не съхранявайте API ключове или токени в код от страна на клиента
2. Използвайте променливи на средата за чувствителните идентификационни данни
3. Внедрете механизми за подновяване на токени при дълго работещи приложения
4. Задайте подходящи срокове на валидност на токените
5. Използвайте HTTPS за всички заявки към API