Geliştirici Portalı ve Erişim Belirteçleri

1) Geliştirici Portalı rolü

Geliştirici Portalı, entegratörler için bir "ön ofis'tir: self servis (anahtarlar, jetonlar, webhook'lar, tarife planları), şeffaflık (limitler, kullanım, faturalar), güvenlik (rotasyon, imzalar), entegrasyon hızı (SDK, dokümantasyon, sanal alan).

• TTI'yi (entegrasyon süresi) saatlere indirin.
• Erişim kontrolü verin: kim/ne/ne kadar/ne zaman.
• Otomatik araçlar aracılığıyla destek üzerindeki yükü azaltın.

2) Onboarding ve hesaplar

Kayıt: E-posta + 2FA/SSO (SAML/OIDC); Etki alanı doğrulama (DNS belirteci).
Kuruluşlar ve ekipler: 'Sahip', 'Yönetici', 'Geliştirici', 'Faturalandırma', 'Güvenlik' rolleri.
Çok kiracılı: uygulamaları kuruluşlara bağlama; Veri erişimi - kiracı/çevreye göre.
KYC/B2B (toptan satış): Kurumsal - tüzel kişilik, sözleşme, yukarıdaki limitler için.

3) Ekler ve krediler

Uygulama türleri: 'sunucudan sunucuya', 'web', 'mobil', 'makineden makineye', 'webhook-tüketici'.

3. 1 API Anahtarları (sunucudan sunucuya, basit entegrasyonlar)

Tanımlayıcı 'key _ id' + gizli 'key _ secret' (bir kez görünür).
Kapsam plan ve setlerine bağlanır.
İmza İsteği (HMAC) ve/veya 'Yetkilendirme: ApiKey <key_id>:<signature>' başlık.

3. 2 OAuth2/OIDC (tavsiye edilir)

• İstemci Kimlik Bilgileri (makineler).
• Yetkilendirme Kodu (+ PKCE) (kullanıcı tarafından yetkilendirilmiş).
• Yenileme Belirteci (çevrimdışı erişim, RT rotasyonu).
• Cihaz Kodu (TV/konsollar).

3. 3 mTLS (ek seviye)

Giriş üzerinde karşılıklı TLS; Sertifikalar portal üzerinden indirilir; Uygulamaya 'cert _ fingerprint' bağlama.

4) Belirteçler: türleri ve yaşam döngüsü

• Kısa AT + uzun RT; RT - kullanımda döndürme.
• Anahtar/uygulama/organizasyon tarafından iptal.
• Kapsam/kota kısıtlamaları ile yeniden düzenleme.

4. 1 JWT formatı (örnek)

json
{
"iss":"https://auth. example. com",
"sub":"app_123",
"aud":"https://api. example. com",
"exp":1730616000,
"iat":1730612400,
"scp":["wallet:read","bet:write"],
"org":"acme",
"kid":"jwks_2025_11",
"jti":"at_01HXY..."
}

Genel anahtarlar JWKS'de yayınlanır; rotasyon'çocuk'tarafından.

4. 2 Opak belirteçler ve İç Gözlem

'Token _ store' (Redis/SQL) dosyasını Auth sunucusunda saklayın.
İç gözlem:'aktif ',' kapsam ',' exp ',' client _ id ',' org ',' kiracı '.

5) Kapsamlar, roller ve erişim politikaları

Kapsamlar işlemleri tanımlar ('wallet: read', 'wallet: write', 'report: read').
Roller toplu kapsamlar ('Geliştirici', 'Faturalandırma').
ABAC: 'org', 'kiracı', 'bölge', 'çevre' nitelikleri.
Politikacılar: "Bu anahtar sadece 'eu-west-1've' oku '".
Adım atma: Kritik yöntemler genişletilmiş kapsamlar veya mTLS gerektirir.

6) Kotalar, limitler ve tarifeler

Hız sınırları: RPS/RPM, patlama.
Kotalar: gün/ay, kredi.
Anahtar/uygulama/organizasyon/kiracı tarafından.
Portal, kullanımı, 'X-RateLimit-'ve' X-Quota- 'başlıklarını ve fazlalık tahminini gösterir.
Faturalandırma: Bir planla bağlantı kurma, olaylara göre ölçme, faturalar ve faturalandırma web kitapları.

7) Webhook yönetimi

Bitiş noktalarının, sırların, olay sürümlerinin kaydı.
Test teslimatı ve tekrarı; Günlükleri yeniden deneyin (2xx/4xx/5xx).
HMAC imzaları ('X-Signature'), 'X-Webhook-Id', veri tekilleştirme, saygı '410'.

8) Dokümantasyon ve SDK

OpenAPI/AsyncAPI ile SDK otomatik oluşturma.
Yemek kitabı: istek örnekleri, retrays, idempotence, pagination, webhooks.
Try-it oyun alanı (kum tuşları ile).
Versiyon Changelog ve depresyon sayfası.

9) Sandbox ve test verileri

İzole ortamlar: 'Sandbox', 'evreleme', 'üretim'.
Test varlıkları (oyuncular, işlemler) ve komut dosyaları (kazan/kaybet, gecikmeler, 5xx, 429).
Portaldan veri toplama ve ortamı sıfırlama.

10) Sırların güvenliği ve depolanması

API Key sırlar karması (açık metinde saklamayın); Anahtarı bir kez göster.
İmza belirteçleri için Gizli Yönetici (KMS/HSM); 'çocuk "anahtarlarının rotasyonu.
IP allowlist, coğrafi kısıtlamalar, ASN filtreleri.
2FA/SSO, donanım anahtarları (WebAuthn).
Kötüye kullanıma karşı koruma: Oluştururken CAPTCHA, anti-bot buluşsal, kayıt hızı.
PII/sırları olmayan günlükler; Desenlere göre redaksiyon.

11) Denetim ve Uyumluluk

Denetim günlüğü: Anahtarı oluşturan/görüntüleyen/iptal eden, webhook'u değiştiren, raporu indiren.
GDPR/DSAR - uygulama/kuruluş verilerini indirin ve silin.
Saklama politikaları: Günlükler için TTL, olaylar için Yasal Bekletme.
Kullanım Koşulları/Adil Kullanım ve ihracat kısıtlamaları.

12) Yönetim ve Operasyonlar

Olay/uzlaşma ile belirteçlerin kitlesel geri çağrılması.
Başvurunun neden ve itirazla geçici olarak askıya alınması (askıya alınması).
Anahtar devretme (iki tuşlu mod:'aktif/sonraki ').
Olay comm: durum sayfası, postalar, RSS/webhooks durumu.

13) UI/UX portalı (anahtar ekranlar)

Organizasyon panosu: kullanım/hatalar/SLO/faturalandırma.
Uygulama: anahtarlar, belirteçler, kapsamlar, sınırlar, web kitapları, ortamlar.
Webhook teslimat günlükleri filtreler ve bir Tekrar düğmesi ile.
Token konsolu: sorun/hatırlama, geçmiş, nedenler.
Dokümantasyon ve SDK, Hızlı Başlangıç, kod örnekleri (kopyala-yapıştır).
Bölüm "Değer düşüklükleri ve göçler".

14) Sözleşme ve yapılandırma örnekleri

14. 1 OpenAPI (snippet'ler)

yaml paths:
/v1/apps:
post:
summary: Create app security: [{ oauth2: [admin:apps. write] }]
responses:
'201': { description: Created }
/v1/apps/{app_id}/keys:
post:
summary: Create API key (shown once)
responses:
'201': { description: Created }
/v1/oauth2/token:
post:
summary: Token endpoint (CC/AC)
responses:
'200': { description: Access token }
/v1/tokens/revoke:
post:
summary: Revoke access/refresh token responses:
'204': { description: Revoked }

14. 2 İç gözlem belirteci (cevap)

json
{
"active": true,
"client_id": "app_123",
"scope": "wallet:read bet:write",
"org": "acme",
"exp": 1730616000,
"token_type": "access_token",
"jti": "at_01HXY..."
}

14. 3 Temel Politika (JSON)

json
{
"app_id":"app_123",
"plan":"pro-2025",
"scopes":["wallet:read","report:read"],
"limits":{"rps":50,"daily_requests":250000},
"regions":["eu-west-1"],
"ip_allow":["192. 0. 2. 0/24"]
}

15) Sürüm ve emanet işlemleri

Anlamsal API sürümleri ('/v1 ','/v2'), add-do-not-break uyumluluğu.
Portal, "neyin eskimiş olduğunu", hangi tarihe kadar ve "nasıl göç edileceğini" gösterir.
Geçiş kılavuzları, test sanal alanı 'v2', mümkün olan yerlerde çift yazma/çift okuma.

16) Gözlemlenebilirlik ve raporlama

Kullanım - gelir: istek/kredi/kaplama programları.
Duruma göre hatalar/' error _ code ', latency histograms.
SLO widget'ları: anahtar kolları için erişilebilirlik ve p95.
CSV/JSON, raporların web kitapları, analitik için API'yi dışa aktarın.

17) Kontrol listeleri

17. 1 Güvenlik

• 2FA/SSO, etki alanı/posta onayı
• Sırları bir kez göster, hash depolama
• JWKS ve anahtar rotasyon,'çocuk '
• mTLS (Ex), IP allowlist, geo/ASN filtreleri
• Anti-bot/anti-abuse, anahtar üretiminde oran sınırı
• Eylemlerin ve erişimlerin denetim günlüğü

17. 2 DX/Onboarding

• Hızlı başlangıç ≤ 5 dakika
• Aynı yüzeye sahip SDK (TS/Py/Java/Go/.NET)
• Oyun alanı + kum tuşları
• Yemek kitabı: Webhooks, Pagination, Retreats, Idempotence
• Limitler/Planlar/Fiyatlandırma Sayfası
• Kopyala-yapıştır örnekleri

17. 3 Operasyonlar

• Toplu belirteç geri çağırma, uygulamayı askıya alma
• Olay/Durum Sayfası + Abonelik
• DLQ/Webhooks için Yeniden Oynatma
• Yakın Kota Tükenmesi için Otomatik Uyarılar
• Aylık Raporlar ve Faturalar

18) Uygulama planı (3 yineleme)

• Org/uygulamaların kaydı, API Anahtarlarının verilmesi, Müşteri Kimlik Bilgileri OAuth2, temel sınırlar (RPS/kotalar), istek günlükleri ve kullanım grafikleri, dokümantasyon ve SDK TS/Python, sandbox.

• JWT + JWKS, anahtar döndürme, Refresh Token + kullanımda döndürme, zorunlu 2FA/SSO, web kitapları (imzalar, yeniden denemeler, günlüğe kaydetme, yeniden oynatma), faturalandırma web kitapları, raporlar ve dışa aktarma, roller ve ABAC.

• mTLS, admin araçları (toplu iptal/askıya alma), indirimler ve geçişler v2, Java/Go/.NET SDK, finops panoları, GDPR/DSAR, Legal Hold, gelişmiş suistimal önleme.

19) Mini-SSS

JWT mi, opak mı?
JWT, Auth sunucusuna (signature/' kid ') sormadan kullanışlıdır, opaklığı iptal etmek ve içeriği gizlemek daha kolaydır. Her ikisi de sıklıkla kullanılır: harici olarak JWT, içsel olarak iç gözlem ile opak.

Access Token ne kadar yaşıyor?
Kısa: Özel için 5-15 dakika, makine için 15-60 dakika. Yenileme mekaniği ile telafi edilir.

Anahtarlar nasıl güvenli bir şekilde döndürülür?
'Aktif/sonraki' tutun, her ikisini de JWKS'ye gönderin, müşterileri'çocuk'ile değiştirin, sonra eski olanı geri çağırın.

Toplam

Güçlü bir geliştirici portalı, varsayılan olarak self servis, gözlemlenebilirlik ve güvenliktir. Belirteçlerin verilmesi/döndürülmesi/iptal edilmesi, şeffaf sınırlar ve faturalandırma, yüksek kaliteli belgeler ve SDK'lar, güvenilir web kitapları ve denetimler için net süreçler verin. Ardından entegratörler hızlı bir şekilde başlayacak ve platformunuz yük altında yönetilebilir, uyumlu ve sabit kalacaktır.