Интеграции: ключи API и вебхуки

Ключи API

Система → Интеграции → Ключи API. Ключ даёт программе снаружи доступ к сайту от вашего имени, но только к тому, что вы отметите. Ключ не может больше, чем вы сами: снимут с вас право — ключ его тоже потеряет.

1. Нажмите добавить, назовите ключ для себя («склад») и отметьте права.
2. Скопируйте ключ сразу: он показан один раз, сайт хранит только его отпечаток и показать ключ ещё раз не сможет. Потеряли — выдайте новый.
3. Программа присылает ключ заголовком Authorization: Bearer nx_… на адреса под /api/v1.
4. Отозвать ключ можно в любую минуту: программа с ним сразу потеряет доступ.

Описание всех доступных ключу точек есть файлом OpenAPI: кнопка «Скачать описание API» отдаёт его для Postman и генераторов клиентов. В файле только точки, на которые хватает ваших прав; самих ключей там нет. Тот же файл программа может взять сама: GET /api/v1/openapi.json с ключом. Точка /api/v1/me отвечает, чей это ключ, до какого срока и какие права у него сейчас.

Вебхуки

Система → Интеграции → Вебхуки. Когда на сайте что-то случилось — оплатили заказ, завели учётную запись, — сайт сам сообщает об этом на указанный вами адрес. Сообщения уходят через очередь и повторяются, если тот конец не ответил; рядом с вебхуком видно время последней отправки и число неудач подряд.

• Адрес нужен внешний, полный, с https:// или http://. На адреса внутри сервера и локальной сети сайт не стучится — это защита от того, чтобы вебхук не стал лазейкой внутрь вашей сети.
• Каждое сообщение подписано: заголовок X-Nex1on-Signature — это подпись sha256 от тела сообщения, посчитанная с вашим «секретом для подписи». Принимающая сторона считает ту же подпись и так узнаёт, что сообщение пришло с вашего сайта.
• «Выдать новый секрет» заменяет прежний; принимающую сторону после этого нужно перенастроить.
• Список событий зависит от включённых модулей: нет модуля — нет и его событий.