callbotagent.aiDokumentacja
v1 · Contract draft
ENPL
Otwórz panel
Zapowiedź

Dokumentacja poglądowa. Opis i zrzuty pochodzą z makiety panelu — finalne wartości i limity potwierdzimy przy starcie produkcyjnym konsoli.

Generowanie i rotacja kluczy API

Klucz Commerce API to para: publiczny key ID (wysyłany w X-CBA-Key-Id) oraz tajny sekret (tylko do liczenia HMAC, nigdy w requestach jako Bearer). Sekret jest pokazywany tylko raz — przy utworzeniu albo rotacji.

Gdzie to robisz

  1. Panel → Konsola API (/dashboard/developer).
  2. Zakładka Klucze API (albo „Zarządzaj kluczami” z Przeglądu).
  3. Ustaw kontekst środowiska Test albo Live (segmented control w nagłówku konsoli).

Lista kluczy Lista kluczy z hintem cba_test_••••XXXX, scopes, expiry i statusem lifecycle.

Utworzenie klucza

Przycisk Utwórz klucz otwiera formularz:

Pole Znaczenie
Nazwa Etykieta operacyjna, np. partner-staging
Środowisko Test albo Live — klucz działa tylko w wybranym kontekście
Scopes Deny-by-default; zaznacz tylko to, czego potrzebuje integracja
Wygaśnięcie np. 90 dni (rekomendowane), 1 rok, albo bez daty
IP allowlist Opcjonalny CIDR; puste = bez ograniczenia IP

Formularz tworzenia klucza Create key: nazwa, Test/Live, scopes, expiry, IP allowlist.

Typowy zestaw na start integracji zamówień:

  • orders:write
  • catalog:write
  • results:read

Dodaj webhooks:write dopiero gdy konfigurujesz endpoint odbiorczy.

Reveal-once (sekret tylko raz)

Po utworzeniu pojawia się modal z:

  1. Key ID — do nagłówka X-CBA-Key-Id (można kopiować później z listy).
  2. Signing secret — zapisz od razu w menedżerze sekretów / CI.
  3. Checkbox potwierdzenia („zapisałem sekret…”) — Done aktywne dopiero po zaznaczeniu.

Po zamknięciu sekretu nie da się ponownie wyświetlić. Jedyna droga to Rotate.

Reveal-once sekretu Reveal-once: key ID + sekret + wymuszone potwierdzenie przed Done.

Rotacja i revoke

Akcja Zachowanie
Rotate Nowy sekret (reveal-once) + okno nakładania starego (np. 24 h), potem stary przestaje działać
Revoke Natychmiastowe unieważnienie; potwierdzenie z powodem; kolejne requesty → 401 invalid_signature

Statusy na liście: active, expiring, stale, expired, revoked, compromised. Banner ostrzega przed kluczami blisko wygaśnięcia.

Po utworzeniu klucza

  1. Podpisuj requesty HMAC — Uwierzytelnianie.
  2. Wyślij pierwsze POST /orders — Szybki start.
  3. Albo przetestuj w Playground (Validate / Sandbox Send) w Konsoli.

Powiązane