Autentisering
API-nycklar, header-format, miljöbindning och CORS.
Varje anrop till /service/* måste innehålla din API-nyckel i headern X-API-Key.
X-API-Key: cert_<prefix>_<secret>Nyckelformat
Nycklar utfärdas i formatet cert_<prefix>_<secret>. Prefixet är en publik identifierare (säker att logga); hemligheten är känslig och ska hanteras som ett lösenord.
Miljöbindning
Nycklar är bundna till en enda miljö. En sandbox-nyckel kan inte anropa produktions-endpoints, och en produktionsnyckel kan inte anropa sandbox. Skapa två separata nycklar.
Scopes per tjänst
Nycklar kan begränsas till specifika tjänster: bankid, persondata och company. En nyckel utan scopes kan anropa allt; en scopad nyckel som anropar utanför sina scopes får 403 insufficient_scope. Ange scopes när du skapar nyckeln i dashboarden.
Återkallelse
Att återkalla en nyckel i dashboarden slår igenom inom några sekunder. Redan pågående anrop slutförs; nya anrop med en återkallad nyckel får 403 api_key_revoked.
Var nyckeln hör hemma
Nycklar är enbart för serversidan. Bädda aldrig in dem i webbläsarkod, mobilappar eller publika Git-repon. Om en kundvänd sida behöver anropa Cerrtify, proxa anropen via din egen backend.
CORS
För anrop från webbläsare registrerar du tillåtna origins i Cerrtify-dashboarden. Anrop från okända origins får 403 origin_not_allowed.