API-ключи с ограниченным доступом для KYC API Didit

Каждое приложение начинается с основного секрета, который имеет полный доступ ко всему, что может делать приложение. Рядом с ним можно добавить именованные API-ключи, по одному на каждый сервис или партнёра, и каждому дать только нужный доступ. Выдайте своему провайдеру выплат ключ, который читает одобренные сессии одного сценария и ничего не может изменить, держите отдельный ключ для вашего бэкенда и отзывайте любой из них, не затрагивая другой.

---

​

Где их найти

В Бизнес-консоли выберите своё приложение и откройте Developers -> API keys. В списке показаны все ключи приложения с их статусом, количеством запросов за последние 30 дней, тем, кто их создал, их доступом и датой последнего использования. Нажмите на ключ, чтобы просмотреть его справа, или откройте его полную страницу с данными об использовании, доступе, последних запросах, фрагментом быстрого старта и историей активности. Ключи принадлежат одному приложению и работают только с ним. Ключ относится к среде приложения: ключи приложения в песочнице никогда не создают тарифицируемых верификаций.

---

​

URL перенаправления и разрешённые домены

Откройте Developers > API keys > Redirects and domains, чтобы задать два списка для выбранного приложения и выбранной среды. Если в списке Разрешённые домены есть записи, Создание сессии отклоняет callback, который не входит ни в один из них, с ошибкой 400. Пустой список означает отсутствие ограничений. Вызовы от сервера к серверу не затрагиваются.

---

​

Создание ключа

​

Пресеты

​

Ресурсы

Чтение охватывает запросы GET к ресурсу; запись также включает POST, PUT, PATCH и DELETE. Ключ с пользовательским доступом работает с публичным API: endpoint’ы сессий, пользователей, компаний, транзакций, сценариев и webhook, а также отдельные проверки. Endpoint’ы, которые использует только Business Console, отвечают на такой ключ 403; для них нужен ключ с полным доступом. Ключ без права чтения Медиа получает решения по сессиям, в которых все URL изображений, видео и PDF равны null, а endpoint’ы PDF-отчётов отвечают 403. Ключ без права записи в Сессии никогда не получает ссылку на верификацию или токен сессии, поскольку тот, у кого они есть, может пройти верификацию от имени конечного пользователя: эти поля возвращаются как null. По той же причине создание человека с send_verification_link: true требует права записи в Сессии в дополнение к праву записи в Люди, так как это создаёт сессию и отправляет её ссылку по электронной почте. Без него вызов отвечает 403 и ничего не создаёт.

​

Ограничения

Ключ, ограниченный отдельными сценариями или одобренными сессиями, работает с endpoint’ами сессий, где можно применить это ограничение. Он не может получить доступ к пользователям, компаниям, транзакциям или аналитике и не может запускать отдельные проверки.

---

​

Как API отвечает ключу с ограниченным доступом

Списки сессий возвращают только те сессии, которые разрешены ограничениями ключа.

---

​

Изменить доступ

Откройте меню ключа, его предпросмотр или его страницу и выберите Изменить доступ. Измените пресет, ресурсы, ограничения или срок действия, затем проверьте только то, что меняется: значения до и после. Секрет остаётся прежним, поэтому ничего не нужно переразворачивать, а новый доступ применяется в течение минуты. Основной секрет всегда имеет полный доступ и не может быть изменён.

---

​

Перевыпустить ключ

Перевыпуск заменяет секрет ключа. Новый секрет показывается один раз, а текущий секрет продолжает работать в течение 24 часов, чтобы вы могли развернуть новый без простоя. После этого каждый запрос со старым секретом отвечает 401. Основной секрет перевыпускается так же, с тем же 24-часовым переходным периодом.

---

​

Отозвать ключ

Отзыв немедленно останавливает ключ: каждый запрос, сделанный с ним, отвечает 401. Это действие нельзя отменить. Основной секрет нельзя отозвать; вместо этого перевыпустите его.

---

​

Использование и журнал аудита

Для каждого ключа отображаются его запросы за последние 30 дней, процент ошибок и задержка, а также последние запросы с кодами статуса, включая запросы, которые были отклонены ограничениями ключа. Каждый вызов, сделанный с помощью API-ключа, появляется в журналах аудита организации с именем ключа, использованного для его выполнения.

---

​

Кто может управлять ключами

Для управления API-ключами требуется разрешение API keys: чтение позволяет их просматривать, запись позволяет создавать, редактировать, перевыпускать и отзывать. См. Роли и разрешения.