Authenticatie, scopes & plannen

API-sleutels

Stuur uw sleutel op een van drie manieren, die op elk REST-eindpunt en op de WebSocket gelijk worden geaccepteerd: Authorization: Bearer xsf_…, de header X-API-Key, of ?api_key= in de URL (bedoeld voor browsers, die bij een WebSocket-handshake geen headers kunnen zetten). Stuurt u er meer dan één, dan wordt eerst Authorization gebruikt, dan X-API-Key, dan api_key. Een sleutel die niet bestaat en een ingetrokken sleutel worden onderscheiden: invalid_api_key betekent controleren op een typfout of een oud geheim; key_revoked betekent contact opnemen met wie hem uitgaf.

Scopes

Een sleutel draagt scopes. Een aanroep daarbuiten geeft 403 terug met {"error":{"code":"scope_required"}}, dat de scope noemt die u mist. GET /v1/account toont de uwe; GET /v1/meta/scopes toont ze allemaal.

Administratieve scopes bestaan voor onze eigen operators en worden via een aparte, besloten interface bediend. Een klantsleutel kan er nooit een dragen.

Plannen

Een plan is een vooraf ingestelde set scopes en limieten; elke sleutel kan afzonderlijk worden aangepast. De actuele matrix staat op GET /v1/meta/plans. Prijzen worden hier niet gepubliceerd.