Κατάλογος ελέγχου ενσωμάτωσης API

0) Ταχεία επανεξέταση (ποιος κάνει τι)

• Εκχωρήθηκε ο ιδιοκτήτης ενσωμάτωσης
• Προβλέπονται επαφές εφημερίας (24 × 7/ώρες εργασίας)
• Συμφωνήθηκε παράθυρο υποστήριξης SLO/SLA και απελευθέρωσης
• Σελίδα κατάστασης και κανάλι περιστατικού (email/slack/webhook)

1) Προσβάσεις, περιβάλλοντα, εκδόσεις

• αμμοκιβώτιο/στάθμευση/παραγωγή με πρόσβαση
• Η έκδοση API επιβεβαιώθηκε: '/v1 '/κεφαλίδα 'X-API-Version'
• Ρύθμιση κανόνων IP και δικτύου
• Ρολόι και TZ: όλες τις φορές στον συγχρονισμό UTC, NTP
• SemVer SDK/Client Combability and Version Matrix Επαληθευμένη

2) Εξακρίβωση ταυτότητας και μάρκες

• Μηχανισμός που συμφωνήθηκε OAuth2 τα διαπιστευτήρια πελατών/κωδικός Auth + πλήκτρο PKCE/API/mTLS
• Προσθήκη Lifetime και αναζωογόνηση ρύθμισης περιστροφής Token
• Για το κλειδί API: το μυστικό εμφανίζεται μία φορά, αποθηκευμένο στο μυστικό διαχειριστή
• JWKS/JTI/« παιδί »ελεγμένη, ρολόι skew σε ± 5 λεπτά
• Μη καταχωρημένες κεφαλίδες «εξουσιοδότησης» (αναθεώρηση)

bash curl -sS -H "Authorization: Bearer $TOKEN" https://api. example. com/v1/ping

3) Ασφάλεια και ιδιωτικότητα

• TLS 1. 2 +/HSTS, προαιρετικό mTLS
• ελαχιστοποίηση PII: στέλνουμε μόνο ό, τι χρειαζόμαστε, μάσκες στα αρχεία καταγραφής
• Τεκμηριωμένη πολιτική διατήρησης και διάθεσης (GDPR/DSAR)
• Μυστική περιστροφή: ενεργό/επόμενο κλειδί, σχέδιο ανατροπής
• Περιορισμοί κατά της κατάχρησης: Captcha/Keying Speed/Registration

4) Όρια, ποσοστώσεις και εφεδρείες

Κεφαλίδες «X- Limit- »/« X-Ποσοστώσεις»

• Ο πελάτης σέβεται το 429 και το «Retry-Afters»
• Retrays για 5xx/408/429 μόνο, εκθετική backoff + jitter
• Επαναδρομολόγηση/καθορισμένη προθεσμία (π.χ. ≤ 5 επανατοποθετήσεις, ≤ 60c σύνολο)

5) Ιδιαιτερότητα και συγκρούσεις

• Όλες οι πράξεις εγγραφής αποστέλλονται με 'Idempotency-Key' (TTL ≥ 24-72 h)
• Διπλή σύγκρουση → 409 IDEMP_REPLAY Χειρισμός
• ETag/' If-Match 'ενεργοποιημένο για ανταγωνιστικές επικαιροποιήσεις (εάν υπάρχουν)

bash curl -X POST /v1/payments \
-H "Idempotency-Key: pay-<uuid>" \
-d '{"amount":"12. 34","currency":"EUR"}'

6) Σελιδοποίηση και επαυξητικά δέλτα

• χρησιμοποιούμενη σελιδοποίηση δρομέα/πληκτρολογίου ('next _ cursor', 'has _ more')
• Σταθερή ταξινόμηση '(updated_at, id)' τεκμηριωμένη
• Επιπρόσθετες μεταφορτώσεις: υδατογράφημα ή σύμβολο αλλαγής
• Επικαλύψεις (επικαλύπτονται 1-2 λεπτά) και αποσύνδεση από '(id, version/seq)'

7) Μορφότυπος σφάλματος και διαγνωστικά

• Ενιαίος μορφότυπος «εφαρμογή/πρόβλημα + json» (RFC 7807)
• Υποστήριξη πεδίου: 'error _ code', 'trace _ id', 'retribable', 'detaily'
• Χάρτης σφαλμάτων και περιγραφόμενες ενέργειες πελατών (runbook)

json
{
"type":"https://docs. example. com/errors/validation_failed",
"title":"Validation failed",
"status":422,
"error_code":"VAL_001",
"trace_id":"a1b2c3",
"retriable":false
}

8) Webhooks: αναγνωρίσεις και επαναλήψεις

• Επιβεβαίωση της επιτυχίας - τυχόν 2xx; Ταχεία ACK μετά την κατάκλιση
• HMAC ('X-Υπογραφή: sha256 =...'), 'X-Webhook-Id', 'X-Retry'
• Πολιτική επαναπροώθησης: backoff + νευρικότητα, έως 24-72 ώρες
• DLQ + Replay: Διαθέσιμο και επικυρωμένο
• Αποθήκευση dedup στο δέκτη, TTL ≥ παράθυρα retray

9) Παρατηρησιμότητα και ιχνηλασιμότητα

Άγκιστρα OpenTelemetry ενεργοποιημένα σε πελάτη/SDK

• Συσχέτιση ιχνοστοιχείων σε κλίμακα αλυσίδας _ id/X-Request-ID
• : 'αιτήματα _ συνολικά', 'σφάλματα _ συνολικά {status}', 'latency _ p95', 'retry _ coun ,' 429 _ rate '
• Συναγερμοί: 5xx/429 ακίδα, p95 αύξηση, ποσοστό επιτυχίας πτώση, webhook lag

promql rate(http_requests_total{status=~"5.."}[5m]) / rate(http_requests_total[5m])

10) Επιδόσεις και σταθερότητα

• Δεξαμενές σύνδεσης, συνεχείς, HTTP/2/3 όπου είναι δυνατόν
• Backpressure, η ουρά του πελάτη δεν είναι «φουσκωμένη»
• διακόπτης κυκλώματος/χρονοδιακόπτης/εφεδρικές πολιτικές
• Δοκιμές φόρτισης: διάρρηξη 10 ×, μακριές συνδέσεις, ψυχρή εκκίνηση

11) Στοιχεία, νομίσματα, χρόνος

• Μορφότυποι: ISO-8601 UTC, χρήματα - δεκαδικές συμβολοσειρές/μονάδες ήσσονος σημασίας, τοπικές μονάδες δεν εξαρτώνται από το περιβάλλον
• Οι κωδικοποιήσεις/γλώσσες είναι συνεπείς (π.χ. 'Αποδοχή γλώσσας' για μηνύματα αλλά 'σφάλμα _ κωδικός' για μηχάνημα)
• Τεκμηριωμένη πολιτική στρογγυλοποίησης/προμήθειας

12) Συμφιλίωση

• Ημερήσια/ωριαία συμφωνία με τους ελέγχους
• API/uploads για τις συμφωνίες που ελέγχθηκαν (CSV/JSON, δηλωτικά/hashes)
• Διαφορές - σε εισιτήρια με αναφορές στο "trace _ i

13) Συμμόρφωση και νομικές πτυχές

• Όροι χρήσης API αποδεκτοί (δίκαιη χρήση/έλεγχος εξαγωγών)
• PII/Κάτοχοι δεδομένων - Καθοριζόμενοι ρόλοι και χώροι αποθήκευσης
• Ενέργειες νομικής κατοχής/λογιστικού ελέγχου ενεργοποιημένες για περιστατικά

14) Πύλη τεκμηρίωσης και ανάπτυξης

• Το OpenAPI/AsyncAPI είναι σχετικό, υπάρχουν παραδείγματα «αντιγραφής»
• SDK (TS/Py/Java/Go/.NET) - οι εκδόσεις είναι συνεπείς, το βιβλίο μαγειρικής είναι διαθέσιμο
• Δοκιμάστε-it έργα παιδικής χαράς, τα πλήκτρα άμμου είναι ενεργά
• Changelog/decretments/χάρτης πορείας είναι ορατά στην πύλη

15) Δοκιμή: λειτουργική, αρνητική, χάος

Λειτουργική

• Πέρασαν σενάρια CRUD/βασικά σενάρια (ευτυχής διαδρομή)
• Σελιδοποίηση/Κέρσορας/Επαυξητικά Δελτία

Αρνητικό

• 401/403/404/409/422/429/5xx και μεταποίηση «Retry-After»
• Εσφαλμένη υπογραφή webhook, ληγμένες μάρκες, μεγάλα σώματα

Χάος

• Drop 10- 30% events, reorder, 1- 10 min καθυστερήσεις
• Απενεργοποιημένες εξαρτήσεις (PSP/KYC) → ορθή οπισθοδρόμηση/σφάλματα

16) Αποδοχή και εκτόξευση (ζωντανή)

• Οριστικό PRR (Ανασκόπηση ετοιμότητας παραγωγής)
• Συμπερίληψη στις καναρίους: 10% → 25% → 50% → 100%
• Αυτόματη ανατροπή των σημάτων SLO (σφάλματα/καθυστέρηση/429)
• Δημοσιεύθηκε η μήτρα επαφής με περιστατικό και η διαδρομή κλιμάκωσης
• Συσσώρευση CAPA μετά τη δημιουργία πιλότου

17) Λειτουργία και υποστήριξη

• Runbook/playbooks: «5xx spike», «429 storm», «webhook backlog», «timeout»
• Τακτικές εκθέσεις προϋπολογισμού SLO/Σφάλμα
• Περιστρεφόμενα μυστικά και κλειδιά σε ένα πρόγραμμα
• Έκδοση Κατάθλιψη/Σχέδιο Μετανάστευσης που συμφωνήθηκε (ημερομηνία λήξης)

18) Μοτίβα τεχνουργημάτων

Πρότυπο Env-config

yaml api:
base_url: https://api. example. com/v1 timeout_ms: 10000 retries: { max: 5, strategy: expo-jitter }
auth:
kind: oauth2 token_url: https://auth. example. com/oauth2/token scopes: [wallet:read, wallet:write]
webhooks:
secret_ref: secret/webhook-hmac parallelism: 10 max_body_kb: 256

Retray policy (ψευδο)

json
{"initial":1,"max":60,"factor":2. 0,"jitter":0. 2,"retriable":["5xx","408","429"]}

19) Τελικός κατάλογος σημάτων «για υπογραφή»

• Περιβάλλον/εκδόσεις/κλειδιά/επιτρεπόμενο σύνολο έτοιμα
• Auth/JWT/πλήκτρα/mTLS ρυθμισμένα και δοκιμασμένα
• Όρια/ποσοστώσεις/retrays/idempotency που εφαρμόζονται
• Εργασίες pagination/cursor/deltas σχετικά με τα δεδομένα
• Webhooks: Υπογραφές, Replays, DLQ/Replay Επαληθευμένες
• Πρόβλημα σφαλμάτων + json ',' trace _ i sticks σε όλα τα αρχεία καταγραφής
• Συλλεγόμενες πινακίδες/καταχωρίσεις, ενεργοποιημένες από το Otel
• Διενέργεια δοκιμών φορτίου/αρνητικών/χάους
• Οι συμφωνίες και οι εκθέσεις συγκλίνουν, τα runbooks επισημοποιούνται
• PRR/καναρίνι/σχέδιο ανατροπής έτοιμες, αναφερόμενες επαφές εφημερίας

Σύνολο

Ο κατάλογος αυτός καλύπτει τις τεχνικές, επιχειρησιακές και συμμορφούμενες πτυχές της ενσωμάτωσης των ΑΡΙ. Περάστε μέσα από αντικείμενα από πάνω προς τα κάτω, αυτοματοποιήστε τα όρια ελέγχου, την ταυτότητα και τα webhooks, ενεργοποιήστε την παρατηρησιμότητα και το σχέδιο rollback - και η εκτόξευση σας θα είναι προβλέψιμη, χωρίς «εκπλήξεις» στην παραγωγή.