Kimlik Doğrulama ve Oturum
Hedef Kitle: Geliştiriciler
Kullanıcı REST API'si kısa ömürlü JWT access token kullanır. Tarayıcı oturumu, sunucunun yönettiği HttpOnly refresh cookie ile yenilenir. Push ölçümü için kullanılan x-api-key, bu kullanıcı oturumundan ayrıdır.
Giriş
POST /auth/login
Content-Type: application/json
{
"email": "user@company.example",
"password": "<kullanıcının şifresi>"
}
Başarılı JSON yanıtında access_token, aktif tenantId (varsa), üyelikler ve platform rolü bulunur. Sunucu ayrıca refresh_token cookie'sini yazar. Cookie'nin HttpOnly, Secure ve SameSite davranışı kurulumun sunucu yapılandırmasıyla belirlenir; JavaScript'e açılmaz.
Access token sub, şirket/rol bağlamı, sv oturum sürümü, jti, oluşturma ve bitiş zamanı taşır. Varsayılan access süresi 15 dakikadır; sunucu ayarı değiştirebilir. Token'daki rol görüntüsünü tek başına kalıcı yetki kanıtı saymayın; sunucu güncel üyelik, rol ve oturum durumunu kontrol eder.
Korumalı çağrı
GET /strategic-cycles
Authorization: Bearer <access_token>
X-Tenant-ID: <tenant_id>
Şirket kapsamlı çağrı için yetkili olduğunuz şirket kimliğini gönderin. Platform kapsamlı uçlar her zaman şirket başlığı istemez. Token'a veya başlığa başka şirket yazmak erişim vermez.
GET /auth/profile hesap/üyelik bağlamını, GET /auth/my-tenants erişilebilen şirketleri sağlar. POST /auth/switch-tenant gövdesindeki targetTenantId ile şirket değiştirir; yanıttaki yeni access token ve şirket bağlamını birlikte kullanın.
Oturumu yenileme
POST /auth/session için geçerli refresh cookie gerekir; access token gerekmez. Tarayıcı istemcisi istekte cookie gönderimini etkinleştirmelidir. Başarılı yanıtta yeni access_token gelir ve refresh cookie döndürülür/yenilenir.
Hâlâ geçerli bir access token varsa POST /auth/refresh, Authorization başlığıyla yeni token üretir. Süresi dolmuş token'ı bu uca göndererek yenileyemezsiniz; refresh cookie akışını veya yeniden girişi kullanın.
Çıkış
POST /auth/logout, geçerli access token'ı ve varsa refresh oturumunu sonlandırır.POST /auth/session/logout, access token eksik/süresi dolmuş olsa da refresh oturumunu iptal edip cookie'yi temizler.- İstemci çıkışta belleğindeki token ve kullanıcı bağlamını da temizlemelidir.
Kayıt ve Google girişi
POST /auth/register ile açık kayıt SaaS içindir; on-prem'de açık değildir. Google girişi, kurulumun Platform Ayarları'nda etkin ve istemci kimliği tanımlıysa kullanılabilir. Google girişi üyelik/rol, hesap durumu ve lisans kurallarını ortadan kaldırmaz.
Hatalar ve güvenli kullanım
- 401: Token/cookie geçersiz veya oturum sona ermiş. Yenileme de başarısızsa yeniden giriş yapın.
- 403: Oturum geçerli olsa da işlem, şirket/kayıt veya lisans kapsamı uygun değil. Aynı isteği yeni token ile tekrarlamak yetki vermez.
- 429: Kimlik doğrulama ucunun hız sınırı aşıldı; istemcinin tekrarlarını sınırlayın.
Access token'ı istemci belleğinde tutun; refresh cookie'yi JavaScript'e açmayın. HTTPS kullanın. Token, parola ve cookie'yi loglara, URL parametrelerine veya destek kaydına yazmayın.