API и токены простыми словами

API (Application Programming Interface) — это способ одной программы попросить что-то у другой: создать заказ, показать расписание, отправить сообщение. Токен — строка-пароль, по которой сервис понимает, что просьба пришла от вас, а не от постороннего.

Зачем это знать владельцу сайта

Любая интеграция между сервисами живёт на API. Когда вас просят «создать ключ в настройках CRM и вставить сюда», речь именно об этом: вы выдаёте программе право действовать от вашего имени в строго очерченных рамках.

Понимание двух вещей — что такое права ключа и что бывает при его утечке — избавляет от большинства проблем.

Как устроен обмен

Одна сторона отправляет запрос на определённый адрес, вторая отвечает — обычно структурой в формате JSON. Запрос всегда содержит подтверждение личности: токен в заголовке, логин с паролем или подпись.

У ответа есть код: 200 — получилось, 401 — не признали, 403 — признали, но не разрешили, 404 — нет такого объекта, 429 — слишком часто, 500 — сломалось у них. Эти пять цифр объясняют девять из десяти сообщений об ошибке, которые вы увидите в любой интеграции.

Права и сроки жизни ключей

Хороший сервис позволяет выдать ключу ровно те права, которые нужны: только создавать заказы, только читать расписание. Это правило минимальных прав, и оно экономит нервы: утёкший ключ «только на чтение» не уничтожит вашу базу.

Токены бывают вечные, временные и обновляемые. Временный нужно продлевать — и если интеграция внезапно перестала работать через месяц после настройки, первым делом проверяйте именно срок ключа.

Что делать, если ключ утёк

Отозвать и выпустить новый — это делается в том же разделе, где он создавался, и занимает минуту. Все интеграции, где он использовался, придётся обновить, поэтому полезно заранее знать, где какой ключ стоит.

После отзыва посмотрите журнал операций сервиса: не создал ли кто-то лишнего, пока ключ гулял. Большинство CRM и платёжных сервисов такой журнал ведут.

Частые вопросы