Иштеп чыгуучулар порталы жана жетүү токендери

1) иштеп порталынын ролу

Developer Portal - бул интеграторлор үчүн "фронт-офис": өзүн-өзү тейлөө (ачкычтар, токендер, веб-хакерлер, тарифтердин пландары), ачык-айкындуулук (лимиттер, usage, инвойстар), коопсуздук (ротация, кол тамгалар), интеграциянын ылдамдыгы (SDK, документтер, кум куту).

• TTI кыскартуу (убакыт-to-integrate) саат.
• жетүү башкаруу берүү: ким/эмне/канча/качан.
• Авто-аспаптар аркылуу колдоо жүгүн азайтуу.

2) Онбординг жана эсептер

Каттоо: email + 2FA/SSO (SAML/OIDC); домен ырастоо (DNS-токен).
Уюмдар жана командалар: ролдору 'Owner', 'Admin', 'Developer', 'Billing', 'Security'.
Мульти-тенант: уюмдарга тиркемелерди байлоо; маалыматтардын жеткиликтүүлүгү - тенант/айлана-чөйрө боюнча.
KYC/B2B : Enterprise үчүн - юридикалык жак, келишим, лимиттер жогору.

3) Тиркемелер жана Credenshell

Колдонмо түрлөрү: 'server-to-server', 'web', 'mobile', 'machine-to-machine', 'webhook-consumer'.

3. 1 API Keys (server-to-server, жөнөкөй интеграция)

ID 'key _ id' + жашыруун 'key _ secret' (бир жолу көрүнүп турат).
Планга жана топтомдорго байлоо.
Кол суроолор (HMAC) жана/же аталышы 'Authorization: ApiKey <key_id>:<signature>'.

3. 2 OAuth2/OIDC (сунуш кылынат)

• Client Credentials (машиналар).
• Authorization Code (+PKCE) (user-delegated).
• Refresh Token (оффлайн кирүү, RT айлануу).
• Device Code (TV/консолдор).

3. 3 mTLS (кошумча деңгээл)

ingress боюнча өз ара TLS; сертификаттар портал аркылуу жүктөлөт; 'cert _ fingerprint' тиркемеси.

4) Токендер: түрлөрү жана жашоо цикли

• Кыска АТ + узун RT; RT - жылма айлануу (rotate-on-use).
• Мажбурлап чакыртып алуу (revoke) ачкыч/колдонмо/уюм.
• scopes/квота боюнча чектөөлөрдү сактоо менен кайра берүү.

4. 1 JWT формат (мисал)

json
{
"iss":"https://auth. example. com",
"sub":"app_123",
"aud":"https://api. example. com",
"exp":1730616000,
"iat":1730612400,
"scp":["wallet:read","bet:write"],
"org":"acme",
"kid":"jwks_2025_11",
"jti":"at_01HXY..."
}

Коомдук ачкычтар JWKS жарыяланат; 'kid' боюнча айлануу.

4. 2 Opaque токендер жана Introspection

Auth-Server 'token _ store' (Redis/SQL) сактаңыз.
Интроспекция: 'active', 'scope', 'exp', 'client _ id', 'org', 'tenant'.

5) Scopes, ролу жана жетүү саясаты

Scopes операцияларды сүрөттөйт ('wallet: read', 'wallet: write', 'report: read').
Ролдор scopes ('Developer', 'Billing').
ABAC: 'org', 'tenant', 'region', 'environment' атрибуттары.
Саясатчылар: "Бул ачкыч - гана 'eu-west-1' жана 'read'".
Step-up: критикалык ыкмалар үчүн кеңейтилген scopes же mTLS талап кылынат.

6) Квоталар, лимиттер жана тарифтер

Rate limits: RPS/RPM, burst.
Квоталар: күн/ай, кредиттер.
Негизги/колдонмо/уюм/тенант.
Portal usage, 'X-RateLimit-' жана 'X-Quota-' аталыштарын, ошондой эле overage божомолун көрсөтөт.
Биллинг: план менен байламта, окуялар боюнча метеринг, инвойстар жана биллинг вебхоктору.

7) Webhook башкаруу

Эндпоинттерди, сырларды, окуялардын версияларын каттоо.
Тест-жеткирүү жана replay; аракет Логи (2xx/4xx/5xx).
Кол тамгалар HMAC ('X-Signature'), 'X-Webhook-Id', дедупликация, respect '410'.

8) Документтер жана SDK

OpenAPI/AsyncAPI SDK авто генерациясы менен.
Cookbook: суроо мисалдар, retry, боштук, pagination, webhooks.
Try-it playground (кум ачкычтары менен).
Версиялык Changelog жана депрекация баракчасы.

9) Sandbox жана тесттик маалыматтар

Обочолонгон чөйрөлөр: 'sandbox', 'staging', 'production'.
Тесттик жактар (оюнчулар, бүтүмдөр) жана жагдайлар (win/lose, кечигүү, 5xx, 429).
Data seeding порталы жана reset курчап турат.

10) Коопсуздук жана сырларды сактоо

API Key сырларынын хэши (ачык сакталбайт); ачкычын бир жолу көрсөтүү.
Кол тамгалар үчүн Secret Manager (KMS/HSM); 'kid' ачкычтарын айлантуу.
IP allowlist, гео-чектөөлөр, ASN-чыпкалар.
2FA/SSO, аппараттык ачкычтар (WebAuthn).
бузукулуктан коргоо: CAPTCHA түзүү, анти-бот, каттоо ылдамдыгы.
PII/сырлары жок Логи; redaction үлгүлөрү боюнча.

11) Аудит жана шайкештик

Аудит-журнал: ким түзүлгөн/карап/ачкычын алып, webhook өзгөртүп, отчет жүктөп алды.
GDPR/DSAR: жүктөө жана колдонмо/уюм маалыматтарды алып салуу.
Сактоо саясаты: TTL Логиндер үчүн, окуялар боюнча мыйзамдуу Hold.
Terms of Use/Fair Use жана экспорттук чектөөлөр.

12) Башкаруу жана операциялар

Окуя/компромисс боюнча токендерди массалык түрдө чакыртып алуу.
арыз убактылуу токтотуу (suspend) себеп жана даттануу менен.
Roll-over ачкычтар (эки ачкыч режими: 'active/next').
Окуя-comm: статус-бет, жөнөтүү, RSS/Webhuke статусу.

13) UI/UX порталы (негизги экрандар)

Dashboard уюм: usage/каталар/SLO/биллинг.
Колдонмо: ачкычтар, токендер, scopes, лимиттер, Webhuke, айлана-чөйрө.
Filters жана Replay баскычы менен Webhook жеткирүү Логи.
Токен-консол: чыгаруу/кароо, тарыхы, себептери.
Документация жана SDK, Quickstart, коддун мисалдары (көчүрүп-киргизүү).
"Депрекация жана миграция" бөлүмү.

14) Контракттардын жана конфигурациялардын мисалдары

14. 1 OpenAPI (үзүндүлөр)

yaml paths:
/v1/apps:
post:
summary: Create app security: [{ oauth2: [admin:apps. write] }]
responses:
'201': { description: Created }
/v1/apps/{app_id}/keys:
post:
summary: Create API key (shown once)
responses:
'201': { description: Created }
/v1/oauth2/token:
post:
summary: Token endpoint (CC/AC)
responses:
'200': { description: Access token }
/v1/tokens/revoke:
post:
summary: Revoke access/refresh token responses:
'204': { description: Revoked }

14. 2 Токендин интроспекциясы (жооп)

json
{
"active": true,
"client_id": "app_123",
"scope": "wallet:read bet:write",
"org": "acme",
"exp": 1730616000,
"token_type": "access_token",
"jti": "at_01HXY..."
}

14. 3 Ачкыч саясаты (JSON)

json
{
"app_id":"app_123",
"plan":"pro-2025",
"scopes":["wallet:read","report:read"],
"limits":{"rps":50,"daily_requests":250000},
"regions":["eu-west-1"],
"ip_allow":["192. 0. 2. 0/24"]
}

15) Версиялоо жана депрекация процесстери

Семантикалык API версиялары ('/v1 ', '/v2'), "кошуу, сындырбоо" шайкештиги.
Портал: "эмне эскирип баратат", кайсы датага чейин, жана "кантип көчүү керек".
Миграциялык гиддер, test-sandbox 'v2', мүмкүн болгон жерде dual-write/dual-read.

16) Байкоо жана отчеттуулук

Usage → киреше: суроолор/кредиттер/оверидж диаграммалары.
/ 'error _ code' статусу боюнча каталар, жашыруун гистограммалар.
SLO Widget: ачкыч туткалары үчүн жеткиликтүүлүгү жана p95.
Экспорт CSV/JSON, Webhook отчеттор, аналитика үчүн API.

17) Чек-баракчалар

17. 1 Коопсуздук

• 2FA/SSO, домен/почта ырастоо
• Сырларды бир жолу көрсөтүү, хеш сактоо
• JWKS жана ачкычтарды айлантуу, 'kid'
• mTLS (опц.) , IP allowlist, geo/ASN чыпкалар
• Анти-бот/анти-abuse, ачкычтарды түзүү үчүн rate-limit
• Иш-аракеттердин жана жеткиликтүүлүктөрдүн аудит журналы

17. 2 DX/Onbording

• Quickstart ≤ 5 мүнөт
• SDK (TS/Py/Java/Go/.NET) бирдей бети менен
• Playground + кум ачкычтары
• Cookbook: Webhook, Pagination, Retray, Idempotent
• Лимиттер/пландар/баалар барагы
• Мисалдар "көчүрүү-киргизүү"

17. 3 Операциялар

• Массалык Токендерди карап чыгуу, suspend app
• Окуя/Статус бет + жазылуу
• DLQ/Webhook үчүн Replay
• Квоталардын жакын арада түгөнүшү жөнүндө Auto-эскертмелер
• Айлык отчеттор жана инвойстар

18) Ишке ашыруу планы (3 итерация)

• ORG/тиркемелерди каттоо, API Keys берүү, Клиент Кредиттер OAuth2, базалык чектер (RPS/квота), суроо-логиндер жана колдонмо графиктер, документтер жана SDK TS/Python, Sandbox.

• JWT + JWKS, ачкычтарды айлантуу, Refresh Token + rotate-on-use, мандат 2FA/SSO, Webhook (кол тамгалар, retries, логин, replay), биллинг Webhook, отчеттор жана экспорт, ролдору жана ABAC.

• mTLS, башкаруу инструменттери (mass revoke/suspend), v2 өчүрүү жана көчүрүү, SDK Java/Go/.NET, Finops Dashboard, GDPR/DSAR, Юридикалык Hold, Advanced анти-каргашалуу.

19) Mini-FAQ

JWT же opaque?
JWT Auth-Server (кол/' kid ') сурабай эле ыңгайлуу, opaque - кайра чакыртып алуу жана мазмунду жашыруу оңой. Көбүнчө экөө тең колдонулат: тышкы JWT, ички - introspection менен opaque.

Access Token канча жашайт?
Кыска: атайын үчүн 5-15 мүнөт, машина үчүн 15-60 мүнөт. refresh-механика менен толтурулат.

Кантип коопсуз ачкычтарды айлантуу керек?
'active/next' сактаңыз, JWKSке экөөнү тең жарыялаңыз, 'kid' аркылуу кардарларды которуңуз, андан кийин эскисин чакыртып алыңыз.

Жыйынтык

Күчтүү иштеп чыгуучулар порталы - бул өзүн-өзү тейлөө, байкоо жана демейки коопсуздук. Токендерди чыгаруу/айлантуу/кайра чакыртып алуу, ачык-айкын лимиттер жана биллинг, сапаттуу документтер жана SDK, ишенимдүү вебхактар жана аудит процесстерин бериңиз. Ошондо интеграторлор тез башталат, ал эми сиздин платформа башкарылуучу, компленттүү жана жүктү туруктуу бойдон кала берет.