Autentisering och API-nycklar

Kopiera sidan

Skapa och återkalla API-nycklar för REST-API:et och MCP-servern i Workflow Transactional Email för Shopify Flow, med åtkomstnivåerna läs, skriv och kör.

Både REST-API:et och MCP-servern använder samma inloggningsuppgifter: en API-nyckel som skapats på utvecklarsidan i appen.

Bas-URL

Alla förfrågningar ska skickas till:

text

https://shopify.workflow-transactional-email.app

Varje slutpunkt nedan är relativ till den värden, så den fullständiga sökvägen till indexet är https://shopify.workflow-transactional-email.app/api/v1.

Skapa en nyckel

Öppna ”Developer” i appen, välj en åtkomstnivå och skapa nyckeln. Det fullständiga värdet visas en gång, när nyckeln skapas. Kopiera det då och spara det i din lösenordshanterare eller i ett säkert lagringsutrymme - det går inte att hämta senare, eftersom endast en SHA-256-hash av det sparas.

Nycklar börjar alltid med fak_, vilket gör dem lätta att upptäcka i en hemlighetsskanner.

Skicka den som en bärartoken:

vbnet

GET /api/v1/me HTTP/1.1
Host: shopify.workflow-transactional-email.app
Authorization: Bearer fak_your_key_here

GET /api/v1/me är det snabbaste sättet att kontrollera att en nyckel fungerar och se vilken behörighetsnivå den har.

Åtkomstnivåer

Nivåerna är ordnade och kumulativa: varje nivå omfattar allt som ligger under den.

Nivå	Vad det tillför
Endast läsning	Läs e-postlayouter, avsändare, dolda namn, uppladdade filer, HTTP-förfrågningar, historik och statistik
Läs och skriv	Skapa, redigera och ta bort HTTP-förfrågningar samt ta bort oanvända uppladdade filer
Läsa, skriva och köra	Skicka en HTTP-förfrågan till dess verkliga mål

Lägg märke till hur begränsade de två översta nivåerna är. Allt som har med e-post att göra är läsbart, men inget av det är skrivbart på någon nivå - se nedan.

Vad en skrivnyckel kan och inte kan ändra

Kan: skapa, redigera, ta bort och köra HTTP-förfrågningar samt ta bort uppladdade filer som ingen hänvisar till.

Det går inte att ändra något som avgör vad dina kunder får. E-postlayouter, avsändare och hemliga uppgifter har inga skrivbara API-ändpunkter på någon åtkomstnivå, och det finns ingen API-ändpunkt för att skicka e-post överhuvudtaget. E-post skickas när ditt Shopify Flow-arbetsflöde kör åtgärden ”Send Transactional Email”; API:et registrerar och rapporterar detta först i efterhand.

Det går inte heller att radera en fil så länge någon layout eller förinställning fortfarande använder filen, vilket innebär att en skrivknapp inte kan förstöra ett aktivt e-postmeddelande genom att ta bort dess logotyp.

Om du behöver ändra en layout eller koppla in en avsändare gör du det i appen.

Varför är ”execute” en separat funktion?

När man kör en HTTP-förfrågan skickas en riktig förfrågan till ett riktigt tredjepartssystem. Genom att hålla detta på en separat nivå säkerställer man att en nyckel som du överlämnar till ett skript - eller till en AI-assistent - för att läsa och redigera konfigurationen inte kan skicka förfrågningar till dina aktiva integrationer.

Utfärda läsbehörigheter som standard. Lägg endast till skriv- eller körbehörigheter när ett specifikt jobb kräver det.

Återkalla en nyckel

Ta bort nyckeln på sidan ”Utvecklare”. Återkallelsen träder i kraft vid nästa förfrågan - det finns ingen cache att vänta på.

Återkalla och utfärda en ny nyckel om en nyckel har lagts in i ett arkiv, klistrats in i ett delat dokument eller lämnats ut till en uppdragstagare som inte längre behöver den.

Goda vanor

Ange autentiseringsuppgifter som {{ secrets.KEY }} i dina HTTP-förfrågningar istället för att klistra in dem i en rubrik eller i meddelandetexten. Autentiseringsuppgifter som anges direkt maskeras i API-svar, men det är bättre att hänvisa till en hemlig nyckel.
Använd en nyckel per användare, så att du kan återkalla en enskild integration utan att det påverkar de övriga.
Se till att inte ha exekveringsnycklar på utvecklarnas bärbara datorer och inte heller i AI-assistenternas inställningar, såvida du inte uttryckligen vill att assistenten ska kunna skicka förfrågningar i realtid.