Autentisering og API-nøkler

Kopier side

Opprett og tilbakekall API-nøkler for REST-API-et og MCP-serveren i Workflow Transactional Email for Shopify Flow, og se hva tilgangsnivåene gir.

Både REST-API-et og MCP-serveren bruker de samme påloggingsopplysningene: en API-nøkkel som er opprettet på utviklersiden i appen.

Grunn-URL

Alle henvendelser sendes til:

text

https://shopify.workflow-transactional-email.app

Hvert endepunkt nedenfor er relativt til den aktuelle verten, så den fullstendige banen til indeksen er https://shopify.workflow-transactional-email.app/api/v1.

Opprette en nøkkel

Åpne Developer i appen, velg et tilgangsnivå og opprett nøkkelen. Den fullstendige verdien vises én gang, når den opprettes. Kopier den da og lagre den i passordbehandleren eller i et lagringssted for hemmelige opplysninger - den kan ikke hentes frem senere, siden det kun er en SHA-256-hash av den som lagres.

Nøkler begynner alltid med fak_, noe som gjør dem enkle å oppdage i en nøkkelskanner.

Send den som et «bearer token»:

vbnet

GET /api/v1/me HTTP/1.1
Host: shopify.workflow-transactional-email.app
Authorization: Bearer fak_your_key_here

GET /api/v1/me er den raskeste måten å sjekke om en nøkkel fungerer og å se hvilket nivå den har.

Tilgangsnivåer

Nivåene er ordnet og kumulative: hvert nivå omfatter alt som ligger under det.

Nivå	Hva det tilfører
Skrivebeskyttet	Les e-postoppsett, e-postavsendere, skjulte navn, opplastede filer, HTTP-forespørsler, historikk og statistikk
Les og skriv	Opprett, rediger og slett HTTP-forespørsler, og slett ubrukte opplastede filer
Les, skriv og kjør	Send en HTTP-forespørsel til det egentlige målet

Legg merke til hvor begrenset tilgangen er på de to øverste nivåene. Alt som har med e-post å gjøre, kan leses, men ingenting kan skrives, uansett nivå - se nedenfor.

Hva en skrive-nøkkel kan og ikke kan endre

Kan: opprette, redigere, slette og utføre HTTP-forespørsler, samt slette opplastede filer som ingen refererer til.

Du kan ikke endre noe som bestemmer hva kundene dine mottar. E-postoppsett, e-postavsendere og hemmelige opplysninger har ingen skrive-endepunkt på noe tilgangsnivå, og det finnes overhodet ikke noe endepunkt for å sende e-post. E-posten sendes når Shopify Flow-arbeidsflyten din utfører handlingen Send Transactional Email; API-et registrerer og rapporterer dette først i etterkant.

Det er heller ikke mulig å slette en fil så lenge et oppsett eller en forhåndsinnstilling fortsatt bruker den, slik at en skriveknapp ikke kan ødelegge en aktiv e-post ved å fjerne logoen.

Hvis du trenger å endre et oppsett eller koble til en avsender, gjør du det i appen.

Hvorfor er «execute» et eget ord?

Når du utfører en HTTP-forespørsel, sendes en ekte forespørsel til et ekte tredjepartssystem. Ved å holde dette på et eget nivå sikrer du at en nøkkel du gir til et skript - eller til en AI-assistent - for å lese og redigere konfigurasjonen, ikke kan utløse forespørsler til dine aktive integrasjoner.

Utsted lesetillatelser som standard. Legg kun til skrive- eller kjøringsrettigheter når en bestemt oppgave krever det.

Tilbakekalling av en nøkkel

Slett nøkkelen på utviklersiden. Tilbakekallingen trer i kraft ved neste forespørsel - det er ingen cache å vente på.

Trekk tilbake og utsted på nytt hvis en nøkkel er lagt inn i et arkiv, limt inn i et delt dokument eller gitt til en underleverandør som ikke lenger trenger den.

Gode vaner

Bruk {{ secrets.KEY }} som referanse til påloggingsopplysningene i HTTP-forespørslene dine, i stedet for å lime dem inn i en header eller i brødteksten. Påloggingsopplysninger som skrives ut ordrett, blir maskert i API-svarene, men det er bedre å henvise til en hemmelig nøkkel.
Bruk én nøkkel per bruker, slik at du kan oppheve en enkelt integrasjon uten at det påvirker de andre.
Unngå å ha utførelsesnøkler på utvikleres bærbare datamaskiner og i konfigurasjonene til AI-assistenter, med mindre du uttrykkelig ønsker at assistenten skal kunne sende forespørsler i sanntid.