Автентифікація

Всі API-запити повинні містити валідний API-ключ у заголовку Authorization за схемою Bearer.

Формат заголовка

Authorization: Bearer lm_your_api_key_here

Формат API-ключа

Ключі мають формат lm_ та 40 випадкових символів:

lm_a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0

Лише перші 8 символів (lm_a1b2c) зберігаються як префікс для ідентифікації в дашборді. Повний ключ показується лише один раз при створенні.

Властивості ключа

Кожен API-ключ має:

Властивість	Опис
Назва	Людиночитана мітка (напр., "CRM інтеграція")
Scopes	Права, надані цьому ключу
Site IDs	Опціональне обмеження за сайтами (null = всі сайти)
Ліміт запитів	Макс. запитів на хвилину (за замовчуванням: 60)
Термін дії	Опціональна дата закінчення

Перевірка прав

API перевіряє права для кожного ендпоінту. Якщо ключ з правом лише leads:read спробує викликати PATCH /v1/leads/123, відповідь буде:

{
  "success": false,
  "error": {
    "code": "scope_denied",
    "message": "This API key does not have the 'leads:write' scope"
  }
}

Рекомендації з безпеки

• Ніколи не розкривайте API-ключі у клієнтському коді, Git-репозиторіях чи публічних URL
• Використовуйте мінімальні права — надавайте лише ті дозволи, які потрібні інтеграції
• Обмежуйте за сайтами, якщо інтеграція працює лише з певними сайтами
• Регулярно змінюйте ключі — відкликайте старі та створюйте нові
• Встановлюйте термін дії для тимчасових інтеграцій
• Моніторте використання в дашборді Інтеграцій — перевіряйте last_used_at на підозрілу активність