Richtlinie für API-Zugriff, -Bereiche und Entwicklerberechtigungen
Wie X2 modularen API-Zugriff nach Dienst, Zweck und Berechtigung gewährt.
1. Prinzip
X2 bietet Zugriff auf Technologie nach Zweck, Dienst und Genehmigung und nicht durch uneingeschränkten Zugriff auf die X2-Plattform.
2. Servicebasierter Zugriff
Zu den unterstützten API-Domänen können Katalog, Rechte und Veröffentlichung, Vertrieb, Analyse, Zielgruppe, soziale und UGC-Monetarisierung, Lizenzgebühren und Berichterstattung, KI-Verifizierung, professionelle Verifizierung und andere autorisierte Dienste gehören. Der Zugriff auf eine Domäne impliziert nicht eine andere.
3. Umfangsbasierte Autorisierung
Anmeldeinformationen können auf Lese-, Schreib- oder vertrauliche Aktionen wie „catalog.read“, „catalog.write“, „rights.read“, „rights.claims.submit“, „distribution.submit“, „analytics.read“, „royties.read“ oder „ai.verify“ beschränkt sein. Endgültige technische Bereichsnamen werden in der API-Spezifikation definiert.
4. Benutzer-, Arbeitsbereichs- und Organisationsautorisierung
Anwendungen dürfen nur auf Ressourcen zugreifen, die dem autorisierten Benutzer, der Organisation oder einer anderen Entität gehören, für die eine ausdrückliche Genehmigung erteilt wurde. Ein uneingeschränkter kundenübergreifender Zugriff ist nicht Teil der gewöhnlichen API-Autorisierung.
5. Bewerbungsregistrierung
X2 benötigt möglicherweise die Identität des Entwicklers oder Unternehmens, den Anwendungsnamen, den beabsichtigten Zweck, Weiterleitungs-URLs, angeforderte Bereiche, erwarteten Datenverkehr, Sicherheitsinformationen, Datenaufbewahrungspraktiken und Kontaktdaten, bevor es Zugriff gewährt.
6. Genehmigungsstufen
X2 kann basierend auf Risiko, Funktion und vertraglichen Anforderungen zwischen Standard-, verifiziertem Entwickler-, eingeschränktem und Unternehmens- oder Partnerzugriff unterscheiden.
7. Sensible Bereiche
Rechteübertragungen, Eigentümerwechsel, Begünstigtenwechsel, Auszahlungsanweisungen, KYC- oder Identitätsdaten, Durchsetzungsmaßnahmen, Sammelforderungen und andere sensible Funktionen erfordern möglicherweise eine manuelle Genehmigung, eine strengere Überprüfung oder separate Vereinbarungen.
8. Finanzielle Genehmigungen
Die Berechtigung zum Lesen von Lizenzgebührenberichten berechtigt nicht automatisch zu Änderungen des Begünstigten, zu Änderungen des Bankkontos oder zur Einleitung einer Auszahlung.
9. Rechteberechtigungen
Die Erlaubnis zum Lesen von Rechtedaten berechtigt nicht automatisch zu Rechteübertragungen, Ansprüchen oder Eigentumsänderungen.
10. OAuth-Zustimmung
Anwendungen, die für einen Benutzer agieren, sollten explizite Bereiche anfordern und diese Berechtigungen klar darstellen. Benutzer sollten die Möglichkeit haben, den Zugriff für die Zukunft zu widerrufen.
11. Kein universeller API-Schlüssel
X2 verwendet keine universellen Anmeldeinformationen, die automatisch Zugriff auf jeden Dienst gewähren. Anmeldeinformationen sollten einem Eigentümer, einer Anwendung, Bereichen, einer Umgebung, Grenzwerten und einem Status zugeordnet sein.
12. Prüfpfad
Sensible API-Aktionen können mit Akteur, Anwendung, Umfang, Ressource, Aktion, Zeit und Ergebnis protokolliert werden.
13. Sandbox und Produktion
Sandbox- und Produktionszugriff sind getrennt. Für den Produktionszugriff ist möglicherweise eine zusätzliche Überprüfung und Genehmigung erforderlich.
14. Interner Dienst-zu-Dienst-Zugriff
Für interne X2-Dienste gilt das gleiche Prinzip der geringsten Rechte. Ein Dienst sollte nur die für seine Funktion erforderlichen API-Berechtigungen erhalten und keinen uneingeschränkten Datenbankzugriff.
15. Anbieteradapter
Externe DSPs, Finanzdienstleister, Rechteorganisationen und andere Adapter erhalten nur den Datenzugriff, der für die spezifische Integration erforderlich ist.
16. Datenexport
Autorisierte Benutzer können berechtigte Kataloge, Metadaten, Rechte, Berichte, Registrierungen oder andere unterstützte Informationen exportieren, ohne unabhängige Kundendaten, proprietäre interne Datensätze, Sicherheitsinformationen oder Betrugsmodelle zu erhalten.
17. Gebühren und Aussetzung
Der API-Zugriff kann kostenlos, dienstbasiert oder nutzungsbasiert sein. X2 kann missbräuchliche Anmeldeinformationen oder Anwendungen sperren, ohne dass das gesamte Kundenkonto gesperrt werden muss.