API (Application Programming Interface, программный интерфейс) — это способ одной программы попросить что-то у другой: создать заказ, показать расписание, отправить сообщение. По токену, или ключу доступа, сервис понимает, что запрос пришёл от вас, а не от постороннего.
Зачем это знать владельцу сайта
Любая интеграция между сервисами работает через API. Когда вас просят создать ключ в настройках CRM и вставить его в другой сервис, вы выдаёте программе право действовать от вашего имени в пределах выданных ей прав.
Достаточно понимать две вещи: какие права есть у ключа и что делать при его утечке.
Как устроен обмен
Одна сторона отправляет запрос на заданный адрес, вторая отвечает структурой в формате JSON. В запросе всегда есть подтверждение личности: токен в заголовке, логин с паролем или подпись.
У ответа есть код. 200 значит «выполнено», 401 «не признали», 403 «признали, но не разрешили», 404 «нет такого объекта», 429 «слишком часто», 500 «ошибка на их стороне». Этими кодами объясняется большинство сообщений об ошибке в интеграциях.
Права и сроки жизни ключей
Права ключа стоит ограничить тем, что нужно интеграции: только создавать заказы или только читать расписание. Это называют правилом минимальных прав: утёкший ключ «только на чтение» не испортит вашу базу.
Токены бывают бессрочные, временные и обновляемые. Временный нужно продлевать: если интеграция перестала работать через месяц после настройки, проверьте сначала срок ключа.
Если ключ утёк
Отзовите ключ и выпустите новый в том же разделе, где создавали его. Все интеграции, где он стоял, придётся обновить, поэтому держите список, какой ключ где используется.
После отзыва посмотрите журнал операций сервиса: не появилось ли чужих действий, пока ключ был доступен. Большинство CRM и платёжных сервисов такой журнал ведут.