Politique d'accès aux API, de portées et d'autorisations des développeurs
Comment X2 accorde un accès modulaire à l'API par service, objectif et autorisation.
1. Principe
X2 fournit un accès à la technologie par objectif, service et autorisation plutôt que par un accès illimité à la plateforme X2.
2. Accès basé sur les services
Les domaines API pris en charge peuvent inclure le catalogue, les droits et la publication, la distribution, l'analyse, l'audience, la monétisation sociale et UGC, les redevances et les rapports, la vérification de l'IA, la vérification professionnelle et d'autres services autorisés. L'accès à un domaine n'implique pas un autre.
3. Autorisation basée sur la portée
Les informations d'identification peuvent être limitées à la lecture, à l'écriture ou à des actions sensibles telles que catalog.read, catalog.write, Rights.read, Rights.claims.submit, distribution.submit, Analytics.read, royalties.read ou ai.verify. Les noms de portée technique finaux sont définis dans la spécification de l'API.
4. Autorisation de l'utilisateur, de l'espace de travail et de l'organisation
Les applications ne peuvent accéder qu'aux ressources appartenant à l'utilisateur autorisé, à l'organisation ou à toute autre entité pour laquelle une autorisation explicite a été accordée. L'accès illimité entre clients ne fait pas partie de l'autorisation API ordinaire.
5. Enregistrement de la demande
X2 peut exiger l'identité du développeur ou de l'entreprise, le nom de l'application, l'objectif prévu, les URL de redirection, les étendues demandées, le trafic attendu, les informations de sécurité, les pratiques de conservation des données et les coordonnées avant d'accorder l'accès.
6. Niveaux d'approbation
X2 peut distinguer l'accès standard, celui de développeur vérifié, celui restreint et celui d'entreprise ou de partenaire en fonction du risque, de la fonction et des exigences contractuelles.
7. Portées sensibles
Les transferts de droits, les changements de propriété, les changements de bénéficiaires, les instructions de paiement, les données KYC ou d'identité, les mesures coercitives, les réclamations groupées et d'autres fonctions sensibles peuvent nécessiter une approbation manuelle, une vérification plus stricte ou des accords séparés.
8. Autorisations financières
L'autorisation de lire les rapports de redevances n'autorise pas automatiquement les changements de bénéficiaire, les changements de compte bancaire ou l'initiation du paiement.
9. Autorisations de droits
L'autorisation de lire les données sur les droits n'autorise pas automatiquement les transferts de droits, les réclamations ou les changements de propriété.
10. Consentement OAuth
Les applications agissant pour un utilisateur doivent demander des étendues explicites et présenter clairement ces autorisations. Les utilisateurs devraient pouvoir révoquer tout accès futur.
11. Pas de clé API universelle
X2 n'utilise pas d'identifiant universel qui accorde automatiquement l'accès à chaque service. Les informations d'identification doivent être associées à un propriétaire, une application, des étendues, un environnement, des limites et un statut.
12. Piste d'audit
Les actions sensibles de l'API peuvent être enregistrées avec l'acteur, l'application, la portée, la ressource, l'action, l'heure et le résultat.
13. Bac à sable et production
L’accès au bac à sable et à la production est séparé. L’accès à la production peut nécessiter une vérification et une approbation supplémentaires.
14. Accès interne de service à service
Le même principe du moindre privilège s’applique aux services X2 internes. Un service doit recevoir uniquement les autorisations API nécessaires à sa fonction plutôt qu'un accès illimité à la base de données.
15. Adaptateurs de fournisseur
Les DSP externes, les fournisseurs financiers, les organisations de droits et autres adaptateurs reçoivent uniquement l'accès aux données requis pour l'intégration spécifique.
16. Exportation de données
Les utilisateurs autorisés peuvent exporter un catalogue éligible, des métadonnées, des droits, des rapports, des enregistrements ou d'autres informations prises en charge sans recevoir de données client non liées, d'ensembles de données internes propriétaires, d'informations de sécurité ou de modèles de fraude.
17. Frais et suspension
L'accès à l'API peut être gratuit, basé sur un service ou basé sur l'utilisation. X2 peut suspendre un identifiant ou une application abusive sans nécessairement suspendre l'intégralité du compte client.