Զարգացողների պորտալը և հասանելիությունը

1) Մշակողների պորտալի դերը

Developer Portal-ը ինտեգրատորների համար «ռազմաճակատ գրասենյակն» է 'ինքնաբացարկ (բանալիներ, հոսանքներ, վեբհուկներ, սակագների պլաններ), թափանցիկություն (լիմիտներ, usage, invoiss), անվտանգություն (նավարկություն, ստորագրություններ), արագություն (SDK, ռուսական, ավազի)։

Հիմնական նպատակները

Կրճատել TTI (Time-to-integrate) մինչև ժամ։

Թույլ տալ, որ հասանելիությունը լինի 'ով/որ/քանի/երբ։

Նվազեցնել աջակցության բեռը մեքենայական գործիքների միջոցով։

2) Onbording-ը և ձայնագրման ձայնագրությունները

Մոսկվա ՝ email + 2FA/SSO (SAML/OIDC); տիրույթի ապացույցը (RF-tocen)։

Կազմակերպությունները և թիմերը '«Owner», «Admin», «Developer», «Billing», «J» դերերը։

Multi-tenant 'դիմումների կապումը կազմակերպություններին։ տվյալների հասանելիությունը ըստ տենանտուի/շրջակա միջավայրի։

KYC/B2B (opz.) 'Enterprise-ի համար իրավաբանական դեմք, պայմանագիր, ավելի բարձր սահմաններ։

3) Ծրագրեր և քրեդենշելներ

Դիմումների տեսակները ՝ «server-to-server», «web», «mobile», «machine-to-machine», «webhook-consumer»։

3. 1 API Keys (server-to-server, պարզ կոմպոզիցիաներ)

Disney _ id '+ գաղտնիքը' key _ secret "(տեսանելի է մեկ անգամ)։

Կապված պլանի և scopes-ի հետ։

Հարցումների ստորագրումը (HMAC) և/կամ "Authorization: Direct Cey : ։

3. 2 OAuth2/OIDC (խորհուրդ)

Դրամաշնորհներ

Client Credentials (մեքենաներ)։

Authorization Code (+PKCE) (user-delegated).

Refresh Token (օֆլայնային հասանելիություն, RT)։

Device Code (TV/վահանակ)։

3. 3 mTSA (մակարդակը)

Փոխադարձ TBS-ը ingress-ում։ հավաստագրերը բեռնվում են պորտալի միջոցով; կապումը 'cult _ fingerprint' k։

4) Տոկենա 'տեսակներ և կյանքի ցիկլ

Սկզբունքները

Կարճ AT + երկար RT; RT-ը սայթաքող ռոտացիա է (rotate-on-use)։

Հարկադիր արձագանքը (revoke) բանալին/ww.ru/կազմակերպություն։

Pere-inta-ը պահպանելով scopes/քվոտաների սահմանափակումները։

4. 1 JWT ձևաչափը (օրինակ)

json
{
"iss":"https://auth. example. com",
"sub":"app_123",
"aud":"https://api. example. com",
"exp":1730616000,
"iat":1730612400,
"scp":["wallet:read","bet:write"],
"org":"acme",
"kid":"jwks_2025_11",
"jti":"at_01HXY..."
}

Հանրային բանալիները հրապարակվում են JWKS-ում։ ռոտացիան 'kid'։

4. 2 Opaque և Introsp.ru

Պահեք Auth սերվերում 'token _ store "(Redis/SQL)։

International: «Action», «exp», «client _ id», «org», «tenae»։

5) Scopes, դերեր և հասանելիության քաղաքականություն

Scopes-ը նկարագրում է վիրահատությունները («wallet: read ',» wallet: write «,» read: read')։

Դերերը համախմբում են scopes («Developer», «Billing»)։

ABAC 'ատրիբուտներ' org ', «tenault», «region», «enviance»։

Քաղաքական գործիչները ՝ "այս բանալին միայն" eu-west-1 "և" read "է։

Step-up: կրիտիկական մեթոդների համար պահանջվում են ընդարձակված scopes կամ mTSA-ներ։

6) Քվոտաներ, սահմաններ և սակագներ

Rate limits: RPS/RPM, burst.

Քվոտաներ ՝ օր/ամիս, վարկեր։

Բանալին/105/կազմակերպություն/տենանտա։

Պորտալը ցույց է տալիս usage, «X-Rance Limit-» և «X-Delta-» վերնագրերը, ինչպես նաև overage կանխատեսումը։

Բիլինգը 'կապ պլանի հետ, մետերինգ իրադարձությունների, ինվոիզների և բիլինգի վեբհուկի հետ։

7) Ուեբհուկի կառավարումը

Eurendpoint's, գաղտնիքները, իրադարձությունների տարբերակները։

Թեստային առաքում և replay; փորձերի լոգներ (2xx/4xx/5xx)։

HMAC ստորագրությունները ("X-Signature"), "X-Webhook-Id", deduplication, resport '410 "։

8) Մոսկվան և KPK

OpenAPI/AsyncAPI-ը SDK-ի մեքենայի գեներացիայի հետ։

Cookbook: Հարցումների օրինակներ, retray, idempotention, pagination, webhooks։

Try-it playground (երգի բեկորների հետ)։

Տարբերակիչ Changelog և դեպրեսիաների էջ։

9) Ավազը և թեստային տվյալները

Մեկուսացված տարածքները '«sandbox», «staging», «prottion»։

Թեստային էակները (խաղացողներ, գործարքներ) և սցենարները (win/lose, ուշացումներ, 5xx, 429)։

Seeeding-ը պորտալից և շրջակա միջավայրից։

10) Գաղտնիքների անվտանգությունն ու պահպանումը

Hash API Key-ի գաղտնիքները (չպահել բաց տեսքով); ցույց տալ բանալին մեկ անգամ։

Գաղտնիքների ղեկավարը (KFC/HSM) ստորագրության հոսքերի համար։ ռոտացիան 'kid "։

IP allowlist, գեո սահմանափակումներ, ASN ֆիլտրեր։

2FA/SSO, ապարատային բանալիներ (No Authn)։

Պաշտպանություն աբյուզից 'CAPTCHA-ն ստեղծելիս, anti-bot evrista, գրանցման արագությունը։

Լոգները առանց PII/գաղտնիքների; redaction ըստ ձևանմուշների։

11) Աուդիտ և համապատասխանություն

Աուդիտ-լոգ 'ով է ստեղծել/դիտել ստեղնը, փոխել է վեբհուկը, ցատկեց զեկույցը։

GDPR/DSAR 'տվյալների բեռնումը և հեռացումը։

Պահեստավորման քաղաքականությունները 'TTL լոգոների համար, Legal Hold-ը միջադեպերի ժամանակ։

Terport of Use/Fox Use-ը և հիբրիդային սահմանափակումները։

12) Մոսկվան և վիրահատությունը

Թունենների զանգվածային արձագանքը պատահականության/փոխզիջման միջոցով։

Դիմումի ժամանակավոր դադարեցումը (suspend) պատճառով և միգրացիայով։

Roll-over-ը (երկկողմանի ռեժիմ ՝ «action/next»)։

Պատահականություն-կոմմ 'կարգավիճակ-էջ, հաղորդագրություններ, RFC/webhuks կարգավիճակը։

13) UI/UX պորտալը (հիմնական էկրանները)

Կազմակերպության Դաշբորդ 'usage/սխալներ/SLO/բիլինգ։

Հավելված ՝ բանալիներ, հոսանքներ, scopes, limits, webhuks, շրջապատեր։

Webhuks առաքման լույսերը ֆիլտրերով և Replay կոճակով։

Տոկեն կոնսոլ 'հրատարակություն/ակնարկ, պատմություն, պատճառներ։

MSK, Quickstart, կոդի օրինակներ (պատճենել)։

«Դեպրեացիաներ և հյուրանոցներ» բաժինը։

14) Ժողովների և ժողովների օրինակներ

14. 1 OpenAPI (բեկորներ)

yaml paths:
/v1/apps:
post:
summary: Create app security: [{ oauth2: [admin:apps. write] }]
responses:
'201': { description: Created }
/v1/apps/{app_id}/keys:
post:
summary: Create API key (shown once)
responses:
'201': { description: Created }
/v1/oauth2/token:
post:
summary: Token endpoint (CC/AC)
responses:
'200': { description: Access token }
/v1/tokens/revoke:
post:
summary: Revoke access/refresh token responses:
'204': { description: Revoked }

14. 2 International (պատասխանը)

json
{
"active": true,
"client_id": "app_123",
"scope": "wallet:read bet:write",
"org": "acme",
"exp": 1730616000,
"token_type": "access_token",
"jti": "at_01HXY..."
}

14. 3 Մրցույթի քաղաքականությունը (JSON)

json
{
"app_id":"app_123",
"plan":"pro-2025",
"scopes":["wallet:read","report:read"],
"limits":{"rps":50,"daily_requests":250000},
"regions":["eu-west-1"],
"ip_allow":["192. 0. 2. 0/24"]
}

15) Տարբերակման և դեպրեսիայի գործընթացները

API («/v1 », «/v2»), համատեղելիությունը «ավելացրեք, մի կոտրիր»։

Պորտալը ցույց է տալիս, որ «ինչ է հնանում», մինչև որ ամսաթիվը և «ինչպես գաղթել»։

Միգրացիոն ուղեցույցները, «v2» թեստային ավազը, dim-write/drone-read որտեղ հնարավոր է։

16) Դիտողությունն ու հաշվետվությունները

Usage-ի եկամուտները 'հարցումների/վարկերի/վարկերի գրաֆիկները։

Ստատուսների/« error _ code », լատենտության հիստոգրամները։

SLO-vigets: հասանելիություն և p95 հիմնական հոսքերի համար։

CSV/JSON էքսպորտը, webhuks-ը, API-ը վերլուծության համար։

17) Չեկ թերթերը

17. 1 Անվտանգություն

• 2FA/SSO, տիրույթի/փոստի հաստատում,
• Գաղտնիքների ցուցադրումը մեկ անգամ, ծանր պահեստավորում
• JWKS-ը և կոդավորման լուծումը, «kid»
• mTSA (opz.) , IP allowlist, geo/ASN ֆիլտրեր
• Anti-abuse, rate-limit ստեղծման համար
• Գործողության և հասանելի աուդիտ-լոգ

17. 2 DX/Onbording

• Quickstart 245 րոպե
• MSK (TS/Py/Java/Go/.NET) նույն մակերեսով։
• Playground + երգի բանալիներ
• Cookbook: webhuks, pagination, retrai, idempotenty։
• Լիմիտների էջ/պլաններ/գինի
• Օրինակներ «պատճենել»

17. 3 Վիրահատություններ

• Հոսանքների զանգվածային արձագանքը, suspend app
• Էջ/կարգավիճակ + բաժանորդագրություն
• DLQ/Replay webhuks համար
• Մոտ քվոտաների սպառման մասին նախազգուշացում
• Ամսական հաշվետվություններ և ինվազներ

18) Իրականացման պլանը (3 իտացիա)

Iteration 1-MVP (2-3 շաբաթ)

Express/ծրագրեր, API Keys, Client Credentials OAuth2, հիմնական սահմանները (RPS/քվոտաներ), հարցումների և usage գրաֆիկայի լոգները, MSK TS/Python, ավազը։

Iteration 2 - Մոսկվա և անվտանգություն (3-4 շաբաթ)

JWT + JWKS, Refresh Token + rotate-on-use, մանդատ 2FA/SSO, webhuks (ստորագրություններ, retries, տրամաբանություն, replay), բիլինգ-webhuks, հաշվետվություններ և էքսպորտներ, դերեր և ABAC։

Iteration 3 - Մասշտաբը և կոմպլենսը (շարունակաբար)

MTSA, admin գործիքներ (www.s revoke/suspend), դեպրեսիաներ և ww.v2, MSK Java/GO/.NET, Fience-dashbords, GDPR/DSAR, LEGGGal HolD OLLD D, առաջընթաց։

19) Mini-FAQ

JWT կամ opaque?

JWT-ը հարմար է առանց Auth-112 (ստորագրություն/« kid »), opaque-ը ավելի հեշտ է հետ կանչել և թաքցնել բովանդակությունը։ Հաճախ օգտագործվում են երկուսն էլ 'արտաքինից JWT, ներքին' opaque-ը, ինտրոպուլյացիայով։

Որքա՞ ն է ապրում Black Token-ը։

Կարճ ՝ 5-15 րոպե օգտագործողների համար, 15-60 րոպե մեքենայական մեքենաների համար։ Այն փոխհատուցվում է refresh մեխանիկայի միջոցով։

Ինչպե՞ ս կարող ենք ապահով կերպով ձևավորել բանալիները։

Պահեք «action/next», հրապարակեք երկուսն էլ JWKS-ում, տեղափոխեք հաճախորդներին «kid», հետո հետ կանչեք հինը։

Արդյունքը

Զարգացողների ուժեղ պորտալը ինքնատիրապետումն է, դիտարկումը և անվտանգությունը լռելյայն։ Թույլ տվեք հասկանալ հոսանքների թողարկման/վերացման գործընթացները, թափանցիկ սահմանները և բիլինգը, որակյալ փաստաթղթերը և SDK-ն, հուսալի webhuks և աուդիտ։ Այդ ժամանակ ինտեգրատորները արագ սկսում են, իսկ ձեր պլատֆորմը կմնա կառավարվող, կոմպլեկտիվ և կայուն բեռի տակ։