Справочник: токены аутентификации и приложения OAuth
Экраны «Токены аутентификации» и «Приложения OAuth»: Company ID, легаси-токены, доступы приложений, срок и передача токена, ответы API при ошибке авторизации
Идентификатор компании и токены, по которым API Aplaut узнают аккаунт, лежат в группе Админ → API и доступы. Группа доступна только роли Администратор. Пошаговая выдача токена описана в статье Как получить токен доступа к API.
Экраны группы
| Экран | Блок | Содержимое | Действия |
|---|---|---|---|
| Токены аутентификации | Company ID | Идентификатор компании | Просмотр, копирование |
| Токены аутентификации | Токены аутентификации | Легаси-токены для Widgets API v2, Platform API v4, Submissions API v2 | Просмотр, копирование |
| Приложения OAuth | Приложения OAuth | Список приложений компании | Создание, редактирование, удаление |
Company ID можно скопировать и не открывая экран: в быстрых командах (Ctrl+K или Cmd+K) выберите Скопировать ID компании.
Company ID
Идентификатор компании в Aplaut. Не меняется и не перевыпускается. Прежнее название — Store ID.
| Где используется | Параметр |
|---|---|
| Загрузчик виджетов 2.0 | companyId, см. справочник JS API виджетов |
| Авторизация покупателей в виджетах | См. как настроить авторизацию покупателей |
Легаси-токены
Один токен на API, общий для всей компании. Срока действия нет. В кабинете легаси-токен нельзя перевыпустить или отозвать.
| Строка в блоке | API | Принимает ли API токен OAuth-приложения |
|---|---|---|
| Widgets API v2 | Widgets API v2, https://w-api2.aplaut.io/widgets/v2 | Нет, только легаси-токен |
| Platform API v4 (легаси) | Platform API v4, https://api.aplaut.io/v4 | Да |
| Submissions API v2 (легаси) | Submissions API v2, https://s-api.aplaut.io/v2 | Да |
Приложение OAuth
Приложение принадлежит компании, в которой создано, и выдаёт токены с заданным набором доступов. Новое приложение создаётся кнопкой Новое приложение на экране Приложения OAuth. После сохранения открывается страница приложения, где выпускаются токены. Кнопка Сохранить на странице существующего приложения и кнопка Отменить возвращают к списку приложений.
| Поле | Тип | Обязательное | Ограничение | Описание |
|---|---|---|---|---|
| Название | строка | да | до 100 символов | Подпись приложения в списке |
| Возможности | набор флажков | нет | после создания не меняется | API, к которым получают доступ токены приложения |
Приложение с действующими токенами удалить нельзя. Сначала отзываются все токены; отозванные и истёкшие токены удалению не мешают. Кнопка Удалить есть в меню строки списка и на странице приложения, перед удалением кабинет спрашивает подтверждение: Удалить приложение «…»? Это действие нельзя отменить.
Доступы
| Флажок в блоке Возможности | Скоуп | API |
|---|---|---|
| Submissions API | submissions_api | Submissions API v2: отправка отзывов и вопросов |
| Platform API | platform_api | Platform API v4: импорт, экспорт, работа с данными аккаунта |
| Merchant API | merchant_api | Merchant API v1, https://app.aplaut.io/merchant/v1: чтение отзывов и ответы на них |
Для виджетов 2.0 отметьте Content API и Submissions API.
Токен OAuth-приложения
| Свойство | Значение |
|---|---|
| Срок действия | 2 года с момента генерации |
| Продление | Нет. Refresh-токен не выдаётся, на замену генерируется новый токен |
| Показ полного значения | Один раз, в окне Новый токен |
| Отображение в списке | ***** и шесть последних символов |
| Доступы | Наследуются от приложения в момент генерации |
| Токенов на приложение | Несколько, все действуют одновременно |
| Отзыв | Сразу, без подтверждения, отменить нельзя |
Колонки в строке токена: Дата создания, Токен, Дата экспирации или Отозван для отозванного токена.
Передача токена
| Способ | Формат | Какие токены |
|---|---|---|
| Заголовок | Authorization: Bearer {TOKEN} | Токен OAuth-приложения и легаси-токены |
| Заголовок | Authorization: Bearer token={TOKEN} или Authorization: Token token={TOKEN} | Только легаси-токены. С токеном OAuth-приложения API отвечает 401 |
| Параметр запроса | access_token={TOKEN} | Токен OAuth-приложения |
| Параметр запроса | authentication_token={TOKEN} | Легаси-токены Widgets API v2 и Submissions API v2 |
Platform API v4 и Submissions API v2 принимают оба вида токенов в одном и том же заголовке.
curl -H "Authorization: Bearer {TOKEN}" "https://api.aplaut.io/v4/..."
Ответы при ошибке авторизации
| Код | Причина | Что делать |
|---|---|---|
401 | Токен OAuth-приложения не передан, не найден, отозван или истёк | Сгенерировать новый токен |
403 | У приложения нет доступа к этому API | Создать приложение с нужным доступом |
401 | Легаси-токен не подошёл | Сверить токен со строкой на экране Токены аутентификации |
Сообщения в кабинете
| Сообщение | Когда возникает |
|---|---|
| Обязательное поле | Не заполнено Название |
| Ошибка. Не могу создать OAuth приложение | Сервер отклонил новое приложение |
| Ошибка. Не могу сохранить OAuth приложение | Сервер отклонил изменения |
| Приложение не удалено: сначала отзовите все его токены | У приложения есть действующие токены |
| Не получилось удалить приложение. Попробуйте ещё раз | Удаление не прошло по другой причине, например пропала связь |
| Ошибка. Не удалось сгенерировать токен | Сервер не выдал токен |
| Приложение удалено | Приложение удалено |
Смотрите также: как получить токен доступа к API, о легаси-токенах и OAuth-приложениях, роли и права доступа.