MÜŞTERİ SORUSU

Anahtar nereye konur?
Webhook nasıl doğrulanır?

Entegrasyon isteyen müşteri bunu sormadan bağlanmamalı. Avcı sizin API hesabınızın sahibi değildir; sır vitrine ve e-postaya yazılmaz.

Anahtar vitrinde olmaz

Canlı mağaza sayfası, Tofy sohbeti ve tanıtım sitesi API sırrı taşımaz. Anahtar sunucu tarafında, mümkünse ortam değişkeninde durur.

Webhook imzası

Gelen olay HMAC veya eşdeğeri ile doğrulanır; ham gövdeye güvenilmez. Tekrar deneme aynı olay kimliğiyle idempotent işlenir. Platform sayfasındaki kural burada da geçerlidir.

Yetki daraltılır

Bir entegrasyon yalnızca sipariş okusun diye tam yönetici anahtarı verilmez. Kapsam teklifte yazılır. Yazılmayan ‘her şeyi çeker’ demek değildir.

Sızdıysa döndürülür

Anahtar e-posta, sohbet veya ekran görüntüsüne düştüyse iptal + yeni anahtar. Avcı sizin pazaryeri veya POS anahtarınızı yerine koymaz.

KAPSAM SINIRI

Uç yazılır.
Sır saklanır.

Hangi sistem, hangi yön, hangi imza: bunlar olmadan ‘açık API’ denmez.

TEKLİFTE YAZILIRSA DAHİL

Kararlaştırılan API uçları ve okuma/yazma yönü
Webhook imza doğrulaması (yazılırsa)
Operasyon ekranında ham sırrın gizlenmesi
İptal / yenileme prosedürünün notu

AYRI KALIR

Üçüncü tarafın kendi anahtar kasası ücreti
Sızan anahtarın yol açtığı pazaryeri cezası
Açık internete şifresiz REST ‘herkese açık’
Avcı’nın sizin CI sisteminizi yönetmesi

SONRAKİ ADIM

Hangi sistem okuyacak, hangisi yazacak?

Tek yön çoğu zaman yeter. Çift yön ve geniş yetki ayrı kalemdir.

Entegrasyon görüşmesi Olay bildirimi