Zásady přístupu k API, oborů a oprávnění pro vývojáře
Jak X2 uděluje modulární API přístup podle služby, účelu a oprávnění.
1. Princip
X2 poskytuje přístup k technologii podle účelu, služby a oprávnění spíše než neomezeným přístupem k platformě X2.
2. Přístup založený na službě
Podporované domény API mohou zahrnovat katalog, práva a publikování, distribuci, analytiku, publikum, zpeněžení sociálních sítí a UGC, licenční poplatky a sestavování, ověřování AI, profesionální ověřování a další autorizované služby. Přístup k jedné doméně neznamená jinou.
3. Oprávnění na základě rozsahu
Pověření mohou být omezena na čtení, zápis nebo citlivé akce, jako je Catalog.read, Catalog.write, Rights.read, rights.claims.submit, distribution.submit, analytics.read, royalties.read nebo ai.verify. Konečné názvy technických oborů jsou definovány ve specifikaci API.
4. Oprávnění uživatele, pracovního prostoru a organizace
Aplikace mohou přistupovat pouze ke zdrojům, které patří oprávněnému uživateli, organizaci nebo jinému subjektu, kterému bylo uděleno výslovné oprávnění. Neomezený přístup mezi zákazníky není součástí běžné autorizace API.
5. Registrace aplikace
X2 může před udělením přístupu vyžadovat identitu vývojáře nebo společnosti, název aplikace, zamýšlený účel, adresy URL přesměrování, požadované rozsahy, očekávaný provoz, informace o zabezpečení, postupy uchovávání dat a kontaktní údaje.
6. Úrovně schválení
X2 může rozlišovat standardní, ověřený vývojářský, omezený a podnikový nebo partnerský přístup na základě rizik, funkcí a smluvních požadavků.
7. Citlivé dalekohledy
Převody práv, změny vlastnictví, změny příjemců, pokyny k výplatě, KYC nebo údaje o identitě, vynucovací opatření, hromadné nárokování a další citlivé funkce mohou vyžadovat ruční schválení, silnější ověření nebo samostatné dohody.
8. Finanční oprávnění
Povolení ke čtení zpráv o licenčních poplatcích automaticky neopravňuje změny příjemce, změny bankovního účtu nebo iniciaci výplaty.
9. Práva Oprávnění
Povolení ke čtení údajů o právech automaticky neopravňuje převody práv, nároky nebo změny vlastnictví.
10. Souhlas s protokolem OAuth
Aplikace jednající za uživatele by měly vyžadovat explicitní rozsahy a tato oprávnění jasně prezentovat. Uživatelé by měli mít možnost budoucí přístup zrušit.
11. Žádný univerzální klíč API
X2 nepoužívá univerzální přihlašovací údaje, které automaticky udělují přístup ke každé službě. Přihlašovací údaje by měly být spojeny s vlastníkem, aplikací, obory, prostředím, limity a stavem.
12. Audit Trail
Citlivé akce API mohou být protokolovány s aktérem, aplikací, rozsahem, zdrojem, akcí, časem a výsledkem.
13. Pískoviště a výroba
Sandbox a přístup k produkci jsou oddělené. Přístup k produkci může vyžadovat dodatečné ověření a schválení.
14. Interní přístup mezi službami
Stejný princip nejmenších privilegií platí pro interní služby X2. Jedna služba by měla získat pouze oprávnění API nezbytná pro její funkci, nikoli neomezený přístup k databázi.
15. Adaptéry poskytovatele
Externí DSP, finanční poskytovatelé, organizace zabývající se právy a další adaptéry obdrží pouze přístup k datům potřebný pro konkrétní integraci.
16. Export dat
Oprávnění uživatelé mohou exportovat vhodný katalog, metadata, práva, sestavy, registrace nebo jiné podporované informace, aniž by obdrželi nesouvisející zákaznická data, vlastní interní datové sady, bezpečnostní informace nebo modely podvodů.
17. Poplatky a pozastavení
Přístup k API může být bezplatný, založený na službě nebo na využití. Společnost X2 může pozastavit zneužití pověření nebo aplikace, aniž by nutně pozastavila celý zákaznický účet.