Ligar e desligar
Em Acesso da API, o botão alterna entre ligado e desligado, e o painel responde que as configurações foram atualizadas.Como um programa se autentica
Conferido: os três formatos de resposta funcionam. A mesma consulta devolveu
JSON, XML e YAML conforme o
Accept enviado.
A sessão do painel não serve para a API. Medido: uma chamada feita do próprio
navegador com o administrador logado, e sem a chave, foi recusada do mesmo jeito.
O cookie de sessão não vale como autorização, e isso é o comportamento correto.
A documentação vem do próprio servidor
A tela traz três links: a referência em um site do fabricante, e a especificação OpenAPI nos formatos JSON e YAML, servida pelo próprio painel em/api/openapi.json e /api/openapi.yml.
Esses dois arquivos respondem sem chave nenhuma. É documentação, não dado do
servidor, e ter a especificação da versão exata instalada vale mais que a
referência genérica do site.
Criar uma chave
- Clique em Adicionar chave API.
- Em Nome, escreva algo que identifique quem vai usar a chave.
- Em IPs, escreva os endereços ou faixas que podem usá-la.
- Clique em Salvar.
prefixo.segredo, com 8 caracteres de prefixo e 120 de segredo. Na tabela do
painel fica guardado o prefixo em texto claro e um resumo criptográfico de 69
caracteres no lugar do segredo. O que a tela promete se confirma no banco: o
segredo não está lá.
O prefixo é o que aparece na coluna PREFIXO DA CHAVE API da lista, e serve
para você saber de qual chave se trata sem ter o valor dela.
A recusa por IP é indistinguível de chave errada
Medido, com duas chaves criadas para o teste:
A mensagem não separa “a chave está errada” de “a chave está certa e o IP não
pode”. Quem estiver depurando uma integração que parou de funcionar precisa
conferir os dois lados, e a lista de IPs costuma ser o culpado quando o servidor
que consome muda de endereço.
As Opções, que o botão esconde
O botão Opções abre três ajustes que valem para a API inteira.
A política de senha desligada joga a responsabilidade para foraCom Aplique a política de senha desmarcada, a API aceita qualquer senha, e
a força dela passa a ser problema de quem chama. A tela diz isso com todas as
letras. Ver Política de Senha.
Excluir uma chave
O ícone da lixeira na linha abre uma tela de confirmação, com o nome, o prefixo, os IPs e a data de criação da chave, e uma caixa de Confirmação que precisa ser marcada. Conferido: com a caixa desmarcada, o navegador barra o envio e pede que ela seja marcada. Depois de excluída, a chave para de funcionar na mesma hora: a chamada seguinte volta com 401. Há também Ações em massa > Excluir seleção, para tirar várias de uma vez.O que a coluna Último acesso conta, e o que não conta
Ela registra o último uso que deu certo. Medido: a chave que foi recusada por IP continuou com o campo vazio depois da tentativa. Tentativa recusada não aparece ali. Ou seja, uma chave com Último acesso vazio pode estar sendo usada e recusada o tempo todo. Para ver tentativa recusada, o lugar é o registro do servidor, não esta tela.O que pode dar errado
Ver também
- Política de Senha, a regra que a opção de senha da API liga ou desliga
- Acesso e Sessão, que trata do acesso de pessoas, e não de programas
- Importar/Exportar as Configurações, cujo arquivo carrega as chaves de API para dentro
- Limites e permissões do cliente, os limites que a opção padrão da API ignora