احراز هویت
هر درخواست را با یک توکن Bearer متعلق به سازمان خود احراز هویت کنید.
احراز هویت فقط با هدر Authorization انجام می‌شود. کوکی پذیرفته نمی‌شود و توکن را نمی‌توان در نوار آدرس (به‌عنوان پارامتر کوئری) فرستاد. همه نقطه‌های پایانی همین هدر را لازم دارند.
Authorization: Bearer pxn_live_…Bearer و پس از آن توکن. درخواست‌هایی که توکن ندارند یا قالب آن‌ها نادرست است، پاسخ 401 unauthorized می‌گیرند.
چرا فقط هدر
آدرس‌ها در لاگ‌های سرور و هدر Referer ثبت می‌شوند؛ توکنی که در آدرس فرستاده شود، از همان‌جا نشت می‌کند. نپذیرفتن کوکی هم سطح حمله جعل درخواست میان‌وبگاهی (CSRF) را به‌طور کامل از بین می‌برد.
آدرس پایه
https://api.proxynet.io/api/v1نخستین درخواست
curl -H "Authorization: Bearer pxn_live_…" \
https://api.proxynet.io/api/v1/meپاسخ شامل نام توکن، مجوزهای آن و سازمانی است که توکن به آن تعلق دارد. درخواست به نقطه پایانی‌ای که مجوزش را ندارید، 403 insufficient_scope برمی‌گرداند؛ اینکه هر مجوز کدام نقطه‌های پایانی را باز می‌کند، در صفحه توکن‌ها و مجوزها آمده است.
توکن را امن نگه دارید
- توکن را در یک متغیر محیطی یا در یک ابزار مدیریت اسرار نگه دارید.
- به هر یکپارچه‌سازی توکن جداگانه بدهید؛ اگر توکنی نشت کند، فقط همان را باطل می‌کنید.
- فقط مجوزهای لازم را انتخاب کنید. سرور مانیتورینگ به مجوز
orders:writeنیازی ندارد. - رویدادهای ساخت و ابطال توکن در صفحه فعالیت سازمان ثبت می‌شوند.
پرسش‌های متداول
آیا می‌توانم توکن را در نوار آدرس بفرستم؟
خیر. پارامتر کوئری‌ای مانند ?token= پذیرفته نمی‌شود؛ فقط هدر Authorization خوانده می‌شود.
آیا می‌توانم آن را از مرورگر فراخوانی کنم؟
خیر. API برای فراخوانی‌هایی که از مرورگر می‌آیند مجوز CORS نمی‌دهد. پنل امتحان کنید! در این مستندات درخواست‌ها را از طریق پروکسی خود ما می‌فرستد؛ در فرانت‌اند خودتان، درخواست را از سرور خودتان بفرستید.
آیا یک توکن می‌تواند به چند سازمان دسترسی داشته باشد؟
خیر. توکن متعلق به سازمانی است که در آن ساخته شده است. برای سرویس‌های یک سازمان دیگر، در همان سازمان توکن جداگانه‌ای بسازید.