Erste Schritte
Integrieren / SDKs
Benutzerverifizierung
Unternehmensverifizierung
Transaktionsüberwachung
ChangelogSchlüssel, die vor der Einführung des eingeschränkten Zugriffs angelegt wurden, behalten vollen Zugriff.
Für sie ändert sich nichts, bis Sie ihren Zugriff bearbeiten.
Wo Sie sie finden
Wählen Sie in der Business-Konsole Ihre Anwendung aus und öffnen Sie Developers -> API keys. Die Liste zeigt alle Schlüssel der Anwendung mit ihrem Status, ihren Anfragen in den letzten 30 Tagen, dem Ersteller, ihrem Zugriff und dem Zeitpunkt der letzten Nutzung. Klicken Sie auf einen Schlüssel, um ihn rechts in der Vorschau anzuzeigen, oder öffnen Sie seine vollständige Seite mit Nutzung, Zugriff, letzten Anfragen, einem Schnellstart-Snippet und seiner Aktivität. Schlüssel gehören jeweils zu einer Anwendung und funktionieren nur für diese. Ein Schlüssel hat die Umgebung der Anwendung: Schlüssel einer Sandbox-Anwendung erzeugen niemals kostenpflichtige Verifizierungen.Weiterleitungs-URLs und zulässige Domains
Öffnen Sie Developers > API keys > Redirects and domains, um zwei Listen für die ausgewählte Anwendung und Umgebung festzulegen.
Wenn die Liste Zulässige Domains Einträge enthält, lehnt Sitzung erstellen jeden
callback mit einem Fehler 400 ab, der nicht auf einer dieser Domains liegt.
Eine leere Liste bedeutet keine Einschränkung.
Serverseitige Aufrufe sind davon nicht betroffen.
Schlüssel erstellen
1
Details
Benennen Sie den Schlüssel nach dem Dienst, der ihn verwendet, und legen Sie fest, wann er abläuft: nie, nach 30 Tagen, nach 90 Tagen, nach einem Jahr oder an einem Datum Ihrer Wahl.
Ein abgelaufener Schlüssel funktioniert am Ende dieses Tages (UTC) nicht mehr.
2
Zugriff
Beginnen Sie mit einer Voreinstellung und passen Sie sie anschließend pro Ressource an.
Der Schlüssel kann nie mehr als das.
3
Prüfung
Die Konsole zeigt genau an, was der Schlüssel darf und was nicht, bevor Sie ihn weitergeben.
4
Geheimer Schlüssel
Kopieren Sie das Geheimnis und speichern Sie es in Ihrem Secrets-Manager.
Das vollständige Geheimnis wird nur dieses eine Mal angezeigt.
Falls Sie es verlieren, rotieren Sie den Schlüssel, um einen neuen zu erhalten.
Voreinstellungen
Ressourcen
Lesen umfasstGET-Anfragen für eine Ressource; Schreiben umfasst außerdem POST, PUT, PATCH und DELETE.
Ein Schlüssel mit benutzerdefiniertem Zugriff funktioniert in der öffentlichen API: bei den Endpoints für Sitzungen, Benutzer, Unternehmen, Transaktionen, Workflows und Webhooks sowie bei den eigenständigen Prüfungen.
Endpoints, die nur die Business Console nutzt, antworten darauf mit
403; dafür ist ein Schlüssel mit Vollzugriff erforderlich.
Ein Schlüssel ohne Lesezugriff auf Medien erhält Sitzungsentscheidungen, bei denen jede Bild-, Video- und PDF-URL auf null gesetzt ist, und PDF-Berichtsendpoints antworten mit 403.
Ein Schlüssel ohne Schreibzugriff auf Sitzungen erhält nie den Verifizierungslink oder das Sitzungstoken einer Sitzung, da jeder, der sie besitzt, die Verifizierung im Namen des Endbenutzers abschließen kann: Diese Felder werden als null zurückgegeben.
Aus demselben Grund erfordert das Anlegen einer Person mit send_verification_link: true zusätzlich zum Schreibzugriff auf Personen auch Schreibzugriff auf Sitzungen, da dabei eine Sitzung erstellt und ihr Link per E-Mail versendet wird.
Ohne diesen Zugriff antwortet der Aufruf mit 403 und legt nichts an.
Beschränkungen
Ein Schlüssel, der auf bestimmte Workflows oder auf genehmigte Sitzungen beschränkt ist, funktioniert an den Sitzungsendpoints, an denen die Beschränkung angewendet werden kann.
Er kann nicht auf Personen, Unternehmen, Transaktionen oder Analysen zugreifen und keine eigenständigen Prüfungen ausführen.
So antwortet die API auf einen eingeschränkten Schlüssel
Sitzungslisten liefern nur die Sitzungen zurück, die die Beschränkungen des Schlüssels zulassen.
Zugriff bearbeiten
Öffnen Sie das Menü eines Schlüssels, seine Vorschau oder seine Seite und wählen Sie Zugriff bearbeiten. Ändern Sie Voreinstellung, Ressourcen, Beschränkungen oder Ablaufdatum und prüfen Sie dann nur die Änderungen, jeweils vorher und nachher. Das Geheimnis bleibt gleich, daher muss nichts neu bereitgestellt werden, und der neue Zugriff gilt innerhalb einer Minute. Das primäre Geheimnis hat immer Vollzugriff und kann nicht bearbeitet werden.Schlüssel rotieren
Beim Rotieren wird das Geheimnis eines Schlüssels ersetzt. Das neue Geheimnis wird nur einmal angezeigt, und das bisherige Geheimnis funktioniert weitere 24 Stunden, damit Sie das neue ohne Ausfallzeit bereitstellen können. Danach antwortet jede Anfrage mit dem alten Geheimnis mit401.
Das primäre Geheimnis wird auf dieselbe Weise rotiert, mit derselben Überlappung von 24 Stunden.
Schlüssel widerrufen
Beim Widerrufen wird ein Schlüssel sofort gestoppt: Jede Anfrage mit ihm antwortet mit401.
Dies kann nicht rückgängig gemacht werden.
Das primäre Geheimnis kann nicht widerrufen werden; rotieren Sie es stattdessen.