Ключи и авторизация
Все методы, кроме сводки по реестрам и метода виджета, требуют секретный ключ сайта в заголовке:
Authorization: Bearer sk_…Где взять ключ
Секретный ключ выдаётся при добавлении сайта в кабинете и показывается один раз. У нас хранится только его хеш, поэтому повторно показать ключ нельзя: потеряли — нажмите «выпустить новый секретный ключ» на странице сайта. Старый ключ перестаёт работать сразу.
Один ключ — один сайт: настройки пометок, доп. услуги и исключения однофамильцев берутся у этого сайта. Если размечаете несколько изданий, добавьте в кабинете сайт для каждого.
Если ключ не подходит
Сервер отвечает 401 и объясняет причину в поле detail:
| Ответ | Что случилось |
|---|---|
401 «Нужен заголовок Authorization: Bearer <секретный ключ сайта>» |
Заголовка нет, схема не Bearer или ключ не начинается с sk_
(например, передан публичный pk_…). |
401 «Неверный или отключённый ключ» |
Такого ключа нет: опечатка, выпущен новый ключ или сайт отключён в кабинете. |
Хранение
- Храните ключ на сервере — в переменных окружения или настройках CMS. Не вставляйте его в JavaScript страниц, мобильные приложения и публичные репозитории.
- Ключ мог попасть к посторонним — выпустите новый и впишите его в настройки плагина и в свой код.
- Плагины для WordPress и 1С-Битрикс используют тот же секретный ключ: после перевыпуска обновите его и там.
Публичный ключ
pk_… из кода виджета для серверного API не подходит. Его принимает только
метод виджета, и только с заголовком Origin домена сайта —
браузер ставит его сам.