Kimlik doğrulama ve scope'lar

API, OAuth 2.0 client credentials akışını kullanır. Kullanıcı oturumu ya da tarayıcı yönlendirmesi yoktur: mağaza yazılımınız istemci bilgileriyle doğrudan token alır. Hangi hesaba ait olduğunuz token'dan çözülür; ayrıca hesap ya da kiracı başlığı gönderilmez.

Token alma

POST https://api.siparistakip.com/oauth/token, gövde application/x-www-form-urlencoded:

Yanıt:

{
  "token_type": "Bearer",
  "expires_in": 3600,
  "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOi..."
}

• Token bugün 1 saat geçerlidir; süreyi expires_in alanından okuyun, sabit yazmayın.
• Yenileme token'ı (refresh token) yoktur. Süre dolmadan, ya da 401 alınca, aynı istekle yeni token alın.
• Token'ı her istekte üretmeyin; süresi dolana kadar saklayıp yeniden kullanın.

Her API isteğinde:

Authorization: Bearer ACCESS_TOKEN

Scope'lar

Token yalnız istediğiniz ve istemcinize tanınmış scope'ları taşır. Eksik scope'la yapılan istek 403 insufficient_scope döner.

Yalnız ihtiyacınız olan scope'ları isteyin. Örneğin yalnız durum okuyan bir raporlama aracı için shipments:read yeter.

Görünürlük

API istemcileriniz API kanalınızdaki gönderileri görür; panelden ya da eklentiden açılan gönderiler API'den okunmaz. Böyle bir gönderinin kimliğiyle istek yaparsanız 404 not_found alırsınız.

Güvenlik

• client_secret yalnız sunucunuzda durur; tarayıcıya, mobil uygulamaya ya da sürüm kontrolüne konmaz.
• Panelde Yenile yeni bir gizli anahtar üretir; eski anahtar 24 saat daha geçerlidir. Bu sürede yazılımınızdaki anahtarı değiştirin. Aynı anda en çok iki anahtar geçerlidir: 24 saat dolmadan yeniden yenilerseniz en eskisi hemen düşer.
• Panelde Hemen iptal istemciyi ve onunla alınmış bütün token'ları anında geçersiz kılar; iptal geri alınmaz, yeni bir istemci oluşturursunuz. Anahtarın sızdığından şüpheleniyorsanız bunu kullanın.
• Askıya alınmış ya da kapatılmış hesapta istekler 403 tenant_not_active döner. Kapatılmış hesapta token isteği de 403 alır, OAuth hata kodu tenant_closed.