Política de acceso a API, alcances y permisos de desarrollador
Cómo X2 otorga acceso a API modular por servicio, propósito y permiso.
1. Principio
X2 proporciona acceso a la tecnología por propósito, servicio y permiso en lugar de acceso sin restricciones a la plataforma X2.
2. Acceso basado en servicios
Los dominios API admitidos pueden incluir catálogo, derechos y publicación, distribución, análisis, audiencia, monetización social y UGC, regalías e informes, verificación de IA, verificación profesional y otros servicios autorizados. El acceso a un dominio no implica otro.
3. Autorización basada en el alcance
Las credenciales pueden estar limitadas a lectura, escritura o acciones confidenciales como catalog.read, catalog.write, derechos.leer, derechos.reclamaciones.enviar, distribución.enviar, análisis.leer, regalías.leer o ai.verificar. Los nombres finales del alcance técnico se definen en la especificación API.
4. Autorización de usuario, espacio de trabajo y organización
Las aplicaciones solo pueden acceder a recursos que pertenezcan al usuario, organización u otra entidad autorizada para la cual se haya otorgado permiso explícito. El acceso sin restricciones entre clientes no forma parte de la autorización API ordinaria.
5. Registro de solicitud
X2 puede requerir la identidad del desarrollador o de la empresa, el nombre de la aplicación, el propósito previsto, las URL de redireccionamiento, los alcances solicitados, el tráfico esperado, la información de seguridad, las prácticas de retención de datos y los detalles de contacto antes de otorgar acceso.
6. Niveles de aprobación
X2 puede distinguir entre acceso estándar, de desarrollador verificado, restringido y empresarial o de socios según el riesgo, la función y los requisitos contractuales.
7. Ámbitos sensibles
Las transferencias de derechos, cambios de propiedad, cambios de beneficiarios, instrucciones de pago, KYC o datos de identidad, acciones de cumplimiento, reclamaciones masivas y otras funciones sensibles pueden requerir aprobación manual, verificación más estricta o acuerdos separados.
8. Permisos financieros
El permiso para leer informes de regalías no autoriza automáticamente cambios de beneficiarios, cambios de cuentas bancarias o inicio de pagos.
9. Permisos de derechos
El permiso para leer los datos de derechos no autoriza automáticamente transferencias de derechos, reclamaciones o cambios de propiedad.
10. Consentimiento de OAuth
Las aplicaciones que actúan para un usuario deben solicitar alcances explícitos y presentar esos permisos claramente. Los usuarios deberían poder revocar el acceso futuro.
11. Sin clave API universal
X2 no utiliza una credencial universal que otorgue acceso automáticamente a todos los servicios. Las credenciales deben estar asociadas con un propietario, aplicación, ámbitos, entorno, límites y estado.
12. Pista de auditoría
Las acciones API confidenciales se pueden registrar con actor, aplicación, alcance, recurso, acción, tiempo y resultado.
13. Sandbox y producción
El acceso a la zona de pruebas y a la producción están separados. El acceso a la producción puede requerir verificación y aprobación adicionales.
14. Acceso interno de servicio a servicio
El mismo principio de privilegios mínimos se aplica a los servicios internos de X2. Un servicio debe recibir sólo los permisos API necesarios para su función en lugar de acceso sin restricciones a la base de datos.
15. Adaptadores de proveedores
Los DSP externos, proveedores financieros, organizaciones de derechos y otros adaptadores reciben solo el acceso a los datos necesarios para la integración específica.
16. Exportación de datos
Los usuarios autorizados pueden exportar catálogos, metadatos, derechos, informes, registros u otra información compatible elegibles sin recibir datos de clientes no relacionados, conjuntos de datos internos propietarios, información de seguridad o modelos de fraude.
17. Tarifas y Suspensión
El acceso a la API puede ser gratuito, basado en servicios o basado en el uso. X2 puede suspender una credencial o aplicación abusiva sin necesariamente suspender toda la cuenta del cliente.