Skip to main content
Do korzystania z Public API nie jest wymagany protokół OAuth. W przypadku prywatnej integracji po stronie serwera zacznij od klucza API o ograniczonym zakresie uprawnień i wykonaj kroki opisane w przewodniku Szybki start. Dane uwierzytelniające klienta OAuth wybierz wtedy, gdy polityka bezpieczeństwa wymaga krótko ważnych tokenów dostępu lub gdy Twoja platforma integracyjna obsługuje już ten przepływ. Obie opcje korzystają z konta usługi. Konto usługi jest tożsamością integracji, a nie trzecią metodą uwierzytelniania.

​
Jak współdziałają poszczególne elementy

Utwórz jedno konto usługi dla każdej integracji. Dla tego konta wybierz klucz API albo klienta OAuth; nie potrzebujesz obu metod w każdym żądaniu API. Żadne z tych danych uwierzytelniających nie może przekraczać bieżących uprawnień konta. W przewodniku Szybki start użyto uwierzytelniania Basic. W przypadku kluczy API obsługiwany jest również nagłówek Bearer; użycie tego nagłówka nie oznacza, że potrzebujesz klienta OAuth.

​
Wybierz klucz API dla prostej integracji

Użyj klucza API w przypadku własnych zaplanowanych zadań, skryptów raportujących, potoków danych lub innych usług zaplecza, jeśli wymagania bezpieczeństwa pozwalają na przechowywanie tajnego klucza w menedżerze sekretów.
  • Wykonuj uwierzytelnione żądania bezpośrednio; wymiana tokenów nie jest wymagana.
  • Wybierz tylko te uprawnienia, których potrzebuje obciążenie, i ustaw termin ważności.
  • Rotuj klucz, korzystając z jego okresu nakładania się, lub natychmiast go unieważnij, jeśli został ujawniony.
Integracja oparta na kluczu API nie wymaga klienta OAuth. Zacznij od przewodnika Szybki start, a następnie zapoznaj się z sekcją Klucze API, aby dowiedzieć się, jak tworzyć i rotować klucze.

​
Wybierz OAuth dla krótko ważnych tokenów dostępu

Użyj danych uwierzytelniających klienta OAuth dla poufnej usługi zaplecza, gdy Twoja organizacja wymaga wygasających tokenów dostępu lub gdy narzędzie integracyjne oczekuje przepływu client_credentials.
  1. Utwórz klienta OAuth o ograniczonym zakresie dla konta usługi.
  2. Uwierzytelnij klienta w regionalnym punkcie końcowym tokenów, używając metody uwierzytelniania klienta podanej podczas konfiguracji.
  3. Wysyłaj uzyskany token dostępu wraz z żądaniami API. Pobierz nowy token przed wygaśnięciem bieżącego.
OAuth dodaje do integracji pozyskiwanie tokenów i obsługę ich wygasania. Tajny klucz klienta nadal wymaga bezpiecznego przechowywania i rotacji; krótko ważne tokeny nie zwalniają z tego obowiązku. Przepływ client credentials nie korzysta z tokenów odświeżania: aby uzyskać nowy token dostępu, ponownie uwierzytelnij klienta. Dostęp OAuth musi być włączony dla Twojej organizacji. Jeśli nie jest włączony, użyj klucza API lub skontaktuj się z pomocą techniczną Living Security w sprawie swoich wymagań. Informacje o tworzeniu klienta, jednorazowych kluczach tajnych, unieważnianiu i odzyskiwaniu znajdziesz w sekcji Dane uwierzytelniające klienta OAuth.

​
Przechowuj dane uwierzytelniające na zapleczu

Klucze API kont usługi i tajne klucze klientów OAuth należy przechowywać w magazynie sekretów po stronie serwera. Nie umieszczaj ich w kodzie przeglądarki, aplikacjach mobilnych, systemie kontroli wersji ani w logach. Dane uwierzytelniające konta usługi działają jako obciążenie; nie logują osoby ani nie zapewniają przepływu zgody klienta. W obu metodach używaj regionalnego hosta API właściwego dla Twojej organizacji. Zmiana metody uwierzytelniania nie zmienia adresu URL zasobu, wersji API ani uprawnień wymaganych dla danej operacji.