Інтеграції: ключі API, вебхуки, оповіщення, вхід для інших сайтів
Як підключити до сайту склад, бота, месенджер чи інший ваш сайт — безпечно й лише до того, що ви дозволили.
Розділ Інтеграції збирає чотири способи зв’язати сайт із зовнішнім світом: «Ключі API», «Вебхуки», «Оповіщення» та «Вхід для інших сайтів».
Ключі API
Ключ дає програмі ззовні — складу, бухгалтерії, власному боту — доступ до сайту від вашого імені, але лише до того, що ви позначите. Ключ не може більше, ніж ви самі: зняли у себе право — у ключа воно зникне. Ключ показується один раз: сайт зберігає лише його відбиток і показати ключ ще раз не зможе, загубили — випустіть новий. Програма передає ключ заголовком «Authorization: Bearer nx_…». Кнопка завантаження віддає файл OpenAPI для Postman і генераторів клієнтів: у ньому лише ті точки, на які вистачає ваших прав. Якщо жодному ввімкненому модулю поки нічого віддати за ключем, перелік областей доступу буде порожній.
Вебхуки
Коли на сайті щось сталося — оплатили замовлення, завели обліковий запис, — сайт повідомляє про це на вказану вами адресу: складу, бухгалтерії, боту. Повідомлення йдуть через чергу. Адреса — лише зовнішня: на адреси всередині сервера та локальної мережі сайт не стукає. Кожне повідомлення підписане: заголовок X-Nex1on-Signature — це підпис sha256 від тіла повідомлення, обчислений з вашим секретом; приймальна сторона перевіряє його й так дізнається, що повідомлення прийшло з вашого сайту. Якщо змінити секрет, старий перестане підходити, і приймальну сторону доведеться переналаштувати.
Оповіщення
Повідомлення про важливе — на телефон: нова заявка, замовлення, підписка, збій. Повідомлення коротке: назва сайту, що сталося й номер; імен, пошти й текстів звернень у ньому немає. Підключається бот Telegram (потрібен номер чату або @ім’я каналу, бот має бути в цьому чаті) або вхідний вебхук Slack чи Discord. Адреса вебхука після збереження не показується. На годину йде обмежена кількість повідомлень: коли ліміт досягнуто, решта подій до кінця години не надсилається. Посилання на панель у повідомлення можна ввімкнути окремою галочкою, але тоді його побачить і служба повідомлень.
Вхід для інших сайтів
Ваші інші сайти й застосунки можуть приймати вхід через облікові записи цього сайту (OpenID Connect). Це працює лише для клієнтів, яких ви завели тут; згода людини обов’язкова, доступ можна відкликати — в одного клієнта або в усіх одразу. За згодою людини сайту-клієнту йдуть її ім’я, логін, мова та (за бажанням) перевірена пошта — лише те, що дозволено областями доступу. Облікові записи з доступом до панелі за замовчуванням входити на чужі сайти через нас не можуть: дозволяє власник для кожного клієнта окремо.
Що потрібно для ввімкнення: адреса сайту в налаштуваннях запуску має бути https (на власному комп’ютері допускається http://localhost), у сайту має бути справжній ключ шифрування (app.key), на хостингу має працювати розширення openssl. Після ввімкнення на сайті з’являться відкриті адреси /.well-known/openid-configuration і /.well-known/jwks.json (особистого в них нічого немає) та точки обміну /oauth/…. Секрет клієнта показується один раз після створення. Перед ввімкненням допишіть до політики сайту абзац про передачу даних чужим сайтам за згодою людини.