Chiavi API con ambito limitato - Accesso ristretto API KYC

Ogni applicazione inizia con un segreto principale che ha accesso completo a tutto ciò che l’applicazione può fare. Puoi aggiungere accanto ad esso chiavi API denominate, una per servizio o partner, ciascuna con solo l’accesso di cui ha bisogno. Assegna al tuo provider di pagamenti una chiave che legge le sessioni approvate di un workflow e non può modificare nulla, conserva una chiave separata per il tuo backend e revoca l’una senza toccare l’altra.

---

​

Dove trovarle

In Console Aziendale, seleziona la tua applicazione e apri Developers -> API keys. L’elenco mostra ogni chiave dell’applicazione con il suo stato, le richieste degli ultimi 30 giorni, chi l’ha creata, il suo accesso e la data dell’ultimo utilizzo. Fai clic su una chiave per visualizzarne l’anteprima a destra, oppure apri la sua pagina completa per vedere utilizzo, accesso, richieste recenti, uno snippet di avvio rapido e la sua attività. Le chiavi appartengono a una sola applicazione e funzionano solo con essa. Una chiave ha l’ambiente dell’applicazione: le chiavi di un’applicazione sandbox non creano mai verifiche a pagamento.

---

​

URL di reindirizzamento e domini consentiti

Apri Developers > API keys > Redirects and domains per impostare due elenchi per l’applicazione e l’ambiente selezionati. Quando l’elenco Domini consentiti contiene voci, Crea sessione rifiuta con un errore 400 qualsiasi callback che non si trova in uno di essi. Un elenco vuoto non comporta alcuna restrizione. Le chiamate server-to-server non sono interessate.

---

​

Crea una chiave

​

Preset

​

Risorse

La lettura copre le richieste GET su una risorsa; la scrittura copre anche POST, PUT, PATCH e DELETE. Una chiave con accesso personalizzato funziona sull’API pubblica: gli endpoint di sessione, utente, azienda, transazione, workflow e webhook, e le verifiche autonome. Gli endpoint usati solo dalla Business Console restituiscono 403 quando vengono chiamati con questa chiave; richiedono una chiave con accesso completo. Una chiave senza lettura di Media riceve le decisioni di sessione con ogni URL di immagini, video e PDF impostato su null, e gli endpoint dei report PDF rispondono 403. Una chiave senza scrittura su Sessioni non riceve mai il link di verifica o il token di sessione di una sessione, perché chi li possiede può completare la verifica al posto dell’utente finale: questi campi tornano come null. Per lo stesso motivo, creare una persona con send_verification_link: true richiede la scrittura su Sessioni oltre a quella su Persone, perché crea una sessione e invia via email il suo link. Senza di essa, la chiamata risponde 403 e non crea nulla.

​

Limiti

Una chiave limitata ad alcuni workflow o alle sole sessioni approvate funziona sugli endpoint delle sessioni, dove il limite può essere applicato. Non può accedere a persone, aziende, transazioni o analytics, e non può eseguire verifiche autonome.

---

​

Come risponde l’API a una chiave con accesso limitato

Gli elenchi di sessioni restituiscono solo le sessioni consentite dai limiti della chiave.

---

​

Modifica accesso

Apri il menu di una chiave, la sua anteprima o la sua pagina e scegli Modifica accesso. Cambia il preset, le risorse, i limiti o la scadenza, poi controlla solo ciò che cambia, prima e dopo. Il segreto resta lo stesso, quindi non serve nessuna nuova distribuzione, e il nuovo accesso si applica entro un minuto. Il segreto primario ha sempre accesso completo e non può essere modificato.

---

​

Ruota una chiave

Ruotare una chiave sostituisce il suo segreto. Il nuovo segreto viene mostrato una sola volta, e il segreto attuale continua a funzionare per 24 ore, così puoi distribuire quello nuovo senza interruzioni. Dopo, ogni richiesta con il vecchio segreto risponde 401. Il segreto primario viene ruotato allo stesso modo, con la stessa sovrapposizione di 24 ore.

---

​

Revoca una chiave

Revocare una chiave la interrompe immediatamente: ogni richiesta fatta con essa risponde 401. L’operazione non può essere annullata. Il segreto primario non può essere revocato; ruotalo invece.

---

​

Utilizzo e registro di audit

Ogni chiave mostra le richieste degli ultimi 30 giorni, il suo tasso di errore e la latenza, e le ultime richieste con i relativi codici di stato, incluse quelle rifiutate a causa dei suoi limiti. Ogni chiamata fatta con una chiave API compare nei registri di audit dell’organizzazione, con il nome della chiave che l’ha effettuata.

---

​

Chi può gestire le chiavi

Gestire le chiavi API richiede l’autorizzazione Chiavi API: lettura per visualizzarle, scrittura per crearle, modificarle, ruotarle e revocarle. Consulta Ruoli e autorizzazioni.