Autenticação

A Alkax utiliza credenciais diferentes para as pessoas que utilizam a aplicação e para os projetos que integram a partir de um servidor. Utilize a credencial e os âmbitos mais restritos que se adequem ao processo.

Sessões de utilizador

As ações interativas dos utilizadores utilizam um token de acesso bearer:

Authorization: Bearer <access-token>

Os tokens podem ser emitidos após métodos de início de sessão suportados, como palavra-passe, chave de acesso ou um fornecedor de identidade ativado. As sessões de utilizador destinam-se a ações realizadas em nome desse utilizador.

Não copie um token de utilizador para uma integração de servidor de longa duração.

Credenciais da Plataforma de programadores

Os endpoints de servidor para servidor aceitam uma credencial de projeto:

X-Alkax-Key: ak_test_<key-id>.<secret>

Cada projeto tem ambientes Sandbox e de Produção separados:

• As chaves Sandbox começam por ak_test_.
• As chaves de Produção começam por ak_live_.

O plano Gratuito permite emitir e utilizar credenciais Sandbox. É necessária uma subscrição paga para emitir, renovar ou utilizar credenciais de Produção. A utilização mensal da API é partilhada por todos os projetos e ambientes faturados ao titular da subscrição.

O segredo completo só é apresentado quando a credencial é emitida ou renovada. Guarde-o imediatamente num gestor de segredos. A Alkax conserva o identificador da chave e um hash derivado do segredo, não o segredo original.

Os âmbitos iniciais disponíveis são:

• places:read
• geocode:read
• delivery:read
• delivery:write

Emita credenciais separadas para cada serviço e ambiente. A rotação cria uma substituta para que a possa implementar antes de revogar a credencial anterior. A revogação, a expiração e a suspensão do projeto ou do ambiente invalidam os pedidos seguintes.

Consulte o guia da Plataforma de programadores para configurar projetos e conhecer os cenários Sandbox, registos, quotas e webhooks.

Segurança das credenciais

• Nunca incorpore credenciais de projeto em JavaScript do frontend nem num binário móvel.
• Nunca coloque uma credencial, ligação de destinatário ou segredo de assinatura de webhook num URL.
• Oculte os segredos e os dados privados de entrega nos registos e rastos.
• Trate 401 como uma credencial em falta, malformada, inválida, expirada ou revogada. Trate 403 como um pedido autenticado sem permissão para essa operação.
• Revogue imediatamente uma credencial que possa ter sido exposta.
• Inclua o X-Request-Id da resposta ao contactar o suporte; não envie a própria credencial.

A referência da API identifica o esquema de autenticação de cada endpoint suportado.