Claus d'API amb àmbit restringit - Accés restringit a l'API KYC

Cada aplicació comença amb un secret primari que té accés complet a tot el que l’aplicació pot fer. Hi pots afegir claus d’API amb nom al costat, una per servei o per soci, cadascuna només amb l’accés que necessita. Dona al teu proveïdor de pagaments una clau que llegeixi les sessions aprovades d’un únic flux de treball i que no pugui canviar res, mantén una clau separada per al teu backend, i revoca’n qualsevol de les dues sense tocar l’altra.

---

​

On trobar-les

A la Consola empresarial, selecciona la teva aplicació i obre Developers -> API keys. La llista mostra totes les claus de l’aplicació amb el seu estat, les sol·licituds dels últims 30 dies, qui l’ha creada, el seu accés i la darrera vegada que s’ha fet servir. Fes clic a una clau per previsualitzar-la a la dreta, o obre la seva pàgina completa per veure’n l’ús, l’accés, les sol·licituds recents, un fragment d’inici ràpid i la seva activitat. Les claus pertanyen a una sola aplicació i només funcionen amb aquesta. Una clau té l’entorn de l’aplicació: les claus d’una aplicació sandbox mai creen verificacions facturades.

---

​

URL de redirecció i dominis permesos

Obre Developers > API keys > Redirects and domains per configurar dues llistes per a l’aplicació i l’entorn que has seleccionat. Quan la llista Dominis permesos té entrades, Crear sessió rebutja un callback que no sigui en cap d’aquests orígens amb un error 400. Una llista buida significa que no hi ha cap restricció. Les crides de servidor a servidor no es veuen afectades.

---

​

Crear una clau

​

Predefinits

​

Recursos

Lectura cobreix les sol·licituds GET sobre un recurs; escriptura també cobreix POST, PUT, PATCH i DELETE. Una clau amb accés personalitzat funciona a l’API pública: els endpoints de sessió, usuari, empresa, transacció, flux de treball i webhook, i les comprovacions independents. Els endpoints que només utilitza la Business Console responen 403 a aquesta clau; necessiten una clau d’accés total. Una clau sense lectura de Mitjans rep les decisions de sessió amb cada URL d’imatge, vídeo i PDF establerta a null, i els endpoints d’informes PDF responen 403. Una clau sense escriptura de Sessions no rep mai l’enllaç de verificació ni el token de sessió d’una sessió, ja que qui els té pot completar la verificació com a usuari final: aquests camps es retornen com a null. Pel mateix motiu, crear una persona amb send_verification_link: true requereix escriptura de Sessions a més d’escriptura de Persones, perquè crea una sessió i n’envia l’enllaç per correu electrònic. Sense això, la crida respon 403 i no crea res.

​

Límits

Una clau limitada a alguns fluxos de treball o a sessions aprovades funciona als endpoints de sessió, on es pot aplicar el límit. No pot tenir accés a persones, empreses, transaccions o analítiques, ni executar comprovacions independents.

---

​

Com respon l’API a una clau amb accés limitat

Les llistes de sessions només retornen les sessions que permeten els límits de la clau.

---

​

Editar l’accés

Obre el menú d’una clau, la seva vista prèvia o la seva pàgina i tria Edita l’accés. Canvia el predefinit, els recursos, els límits o la caducitat, i revisa només el que canvia, abans i després. El secret no canvia, així que no cal tornar a desplegar res, i el nou accés s’aplica en un minut. El secret principal sempre té accés total i no es pot editar.

---

​

Rotar una clau

Rotar substitueix el secret d’una clau. El nou secret es mostra una sola vegada, i el secret actual continua funcionant durant 24 hores perquè puguis desplegar el nou sense interrupcions. Després, cada sol·licitud amb el secret antic respon 401. El secret principal es rota de la mateixa manera, amb el mateix solapament de 24 hores.

---

​

Revocar una clau

Revocar una clau la desactiva de seguida: cada sol·licitud feta amb ella respon 401. No es pot desfer. El secret principal no es pot revocar; en lloc d’això, rota’l.

---

​

Ús i registre d’auditoria

Cada clau mostra les seves sol·licituds dels últims 30 dies, la seva taxa d’error i la latència, i les darreres sol·licituds amb els seus codis d’estat, incloses les que els seus límits han rebutjat. Cada crida feta amb una clau d’API apareix als registres d’auditoria de l’organització amb el nom de la clau que l’ha fet.

---

​

Qui pot gestionar les claus

Gestionar les claus d’API requereix el permís Claus d’API: lectura per veure-les, escriptura per crear-les, editar-les, rotar-les i revocar-les. Consulta Rols i permisos.