Обзор аутентификации

В этом руководстве объясняется, как проходить аутентификацию в нашем API. Мы поддерживаем несколько методов аутентификации:

API-ключи

Самый простой метод аутентификации: использование API-ключей. Каждый API-ключ привязан к конкретному пользователю и имеет собственный набор разрешений.

// Example API Key request
const response = await fetch('https://api.example.com/data', {
  headers: {
    'Authorization': 'Bearer YOUR_API_KEY'
  }
});

OAuth 2.0

Для приложений с повышенными требованиями к безопасности мы поддерживаем процесс аутентификации OAuth 2.0:

1. Запрос авторизации: перенаправьте пользователей на наш URL авторизации
2. Согласие пользователя: пользователь разрешает доступ к своему аккаунту
3. Код авторизации: наш сервер возвращает код авторизации
4. Обмен на токен: обменяйте код на токен доступа
5. Запросы к API: используйте токен доступа для обращения к защищённым ресурсам

JWT-токены

После аутентификации мы выдаём JWT-токены, которые содержат закодированную информацию о пользователе и его разрешениях.

// Example JWT token usage
const response = await fetch('https://api.example.com/protected-resource', {
  headers: {
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  }
});

Управление сессиями

По умолчанию сессии действуют 24 часа. Чтобы обновить сессию:

const refreshResponse = await fetch('https://api.example.com/auth/refresh', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': 'Bearer CURRENT_REFRESH_TOKEN'
  }
});

// Parse the new tokens
const { accessToken, refreshToken } = await refreshResponse.json();

Рекомендации

1. Никогда не храните API-ключи и токены в клиентском коде
2. Используйте переменные окружения для конфиденциальных учётных данных
3. Реализуйте механизмы обновления токенов для долго работающих приложений
4. Задавайте подходящее время жизни токенов
5. Используйте HTTPS для всех запросов к API