Как администратору включить API

Эта страница для администратора обменника. Задача администратора: разрешить клиенту API, выдать минимальные права и объяснить, где клиент создает ключ.

1. Включить API глобально

В админке откройте настройки API и убедитесь, что публичный API включен.

Если API выключен глобально, ключи клиентов не будут работать.

2. Разрешить API клиенту

Откройте карточку клиента и включите ему доступ к API.

Что проверить:

Проверка	Почему важно
Аккаунт клиента активен	Заблокированный клиент не должен работать через API.
API-доступ включен	Без этого приватные endpoints вернут отказ.
Email/профиль клиента корректен	Это поможет быстро найти аккаунт при обращении.
Клиент понимает ответственность за ключ	Ключ дает доступ к его заявкам и операциям.

3. Выбрать права доступа

Не выдавайте все права сразу. Выберите набор под задачу интеграции.

Только читать заявки

Подходит для CRM, отчетов и панелей поддержки:

orders:read
orders:detail:read
orders:statuses:read
client:health:read

Создавать заявки обмена

Подходит для витрины обмена, Telegram-бота, мобильного приложения:

exchange:routes:read
exchange:capabilities:read
exchange:quotes:read
exchange:preflight:read
exchange:orders:create
orders:detail:read
orders:statuses:read

Подтверждать оплату

Добавьте только если интеграция действительно будет подтверждать оплату:

exchange:orders:confirm
exchange:orders:actions:read

Управлять webhooks

webhooks:read
webhooks:write
webhooks:deliveries:read
webhooks:deliveries:retry

4. Настроить HMAC

Рекомендуемая настройка:

Тип запроса	Рекомендация
GET	Можно разрешить без HMAC для простого чтения.
POST, PUT, PATCH, DELETE	Требовать HMAC.
Все приватные запросы	Лучший вариант для крупных интеграций.

HMAC защищает запрос от подмены тела, query string и повторного использования nonce.

5. Настроить IP allow-list

Если интеграция работает server-to-server, включите белый список IP и добавьте публичные IP серверов клиента.

Попросите клиента передать:

• production IP;
• staging IP, если нужен тестовый контур;
• внешний IP NAT/load balancer, если запросы идут через него.

6. Настроить лимиты

Минимальный набор:

Настройка	Что ограничивает
Rate limit	Сколько запросов можно делать за короткий период.
Daily quota	Сколько запросов можно сделать за сутки.
Monthly quota	Сколько запросов можно сделать за месяц.
Webhook endpoint limit	Сколько webhook URL может создать клиент.

Если клиент часто проверяет статусы, лучше подключить webhooks, а не повышать лимиты.

7. Объяснить клиенту, где создать ключ

После включения доступа клиент сам создает ключ в личном кабинете:

Профиль -> Настройки -> API -> Создать ключ

На вкладке API клиент увидит:

• сколько ключей уже использовано, например 9 / 10;
• кнопку Создать ключ;
• список существующих ключей;
• поле “Белый список IP”;
• тумблер Ключ включён;
• статусы HMAC включён и Активен.

Если клиент видит Достигнут лимит API-ключей, он должен удалить старый ключ или обратиться к администратору.

8. Что передать клиенту

Администратор не должен пересылать Bearer-токен за клиента. Клиент создает ключ сам:

1. Войти в личный кабинет.
2. Открыть Профиль -> Настройки -> API.
3. Нажать Создать ключ.
4. Сразу сохранить Bearer-токен и HMAC-секрет.
5. Проверить, что ключ активен.
6. Передать секреты разработчику через защищенный канал.