API-tilgang, omfang og retningslinjer for utviklertillatelser
Hvordan X2 gir modulær API-tilgang etter tjeneste, formål og tillatelse.
1. Prinsipp
X2 gir tilgang til teknologi etter formål, tjeneste og tillatelse i stedet for ubegrenset tilgang til X2-plattformen.
2. Tjenestebasert tilgang
Støttede API-domener kan inkludere katalog, rettigheter og publisering, distribusjon, analyse, publikum, sosial og UGC-inntektsgenerering, royalties og rapportering, AI-verifisering, profesjonell verifisering og andre autoriserte tjenester. Tilgang til ett domene innebærer ikke et annet.
3. Omfangsbasert autorisasjon
Legitimasjon kan være begrenset til å lese, skrive eller sensitive handlinger som catalog.read, catalog.write, rights.read, rights.claims.submit, distribution.submit, analytics.read, royalties.read eller ai.verify. Endelige tekniske omfangsnavn er definert i API-spesifikasjonen.
4. Bruker-, arbeidsområde- og organisasjonsautorisasjon
Applikasjoner kan bare få tilgang til ressurser som tilhører den autoriserte brukeren, organisasjonen eller annen enhet som det er gitt eksplisitt tillatelse til. Ubegrenset tilgang på tvers av kunder er ikke en del av ordinær API-autorisasjon.
5. Søknadsregistrering
X2 kan kreve utvikler- eller firmaidentitet, applikasjonsnavn, tiltenkt formål, omdirigerings-URLer, forespurte omfang, forventet trafikk, sikkerhetsinformasjon, dataoppbevaringspraksis og kontaktdetaljer før tilgang.
6. Godkjenningsnivåer
X2 kan skille standard, verifisert utvikler, begrenset og bedrifts- eller partnertilgang basert på risiko, funksjon og kontraktskrav.
7. Sensitive Scopes
Rettighetsoverføringer, eierskapsendringer, mottakerendringer, utbetalingsinstruksjoner, KYC- eller identitetsdata, håndhevingshandlinger, massekrav og andre sensitive funksjoner kan kreve manuell godkjenning, sterkere verifisering eller separate avtaler.
8. Økonomiske tillatelser
Tillatelse til å lese royaltyrapporter autoriserer ikke automatisk endring av mottaker, bankkontoendringer eller utbetalingsinitiering.
9. Rettighetstillatelser
Tillatelse til å lese rettighetsdata autoriserer ikke automatisk rettighetsoverføringer, krav eller eierskapsendringer.
10. OAuth-samtykke
Apper som opptrer for en bruker bør be om eksplisitte omfang og presentere disse tillatelsene tydelig. Brukere bør kunne tilbakekalle fremtidig tilgang.
11. Ingen universell API-nøkkel
X2 bruker ikke en universell legitimasjon som automatisk gir tilgang til hver tjeneste. Legitimasjon bør knyttes til en eier, applikasjon, omfang, miljø, grenser og status.
12. Revisjonsspor
Sensitive API-handlinger kan logges med aktør, applikasjon, omfang, ressurs, handling, tid og resultat.
13. Sandkasse og produksjon
Sandkasse og produksjonstilgang er atskilt. Produksjonstilgang kan kreve ytterligere bekreftelse og godkjenning.
14. Intern tjeneste-til-tjeneste-tilgang
Det samme prinsippet med minste privilegium gjelder for interne X2-tjenester. Én tjeneste bør motta bare API-tillatelsene som er nødvendige for funksjonen i stedet for ubegrenset databasetilgang.
15. Leverandøradaptere
Eksterne DSPer, finansielle leverandører, rettighetsorganisasjoner og andre adaptere mottar kun datatilgangen som kreves for den spesifikke integrasjonen.
16. Dataeksport
Autoriserte brukere kan eksportere kvalifisert katalog, metadata, rettigheter, rapporter, registreringer eller annen støttet informasjon uten å motta urelaterte kundedata, proprietære interne datasett, sikkerhetsinformasjon eller svindelmodeller.
17. Gebyrer og suspensjon
API-tilgang kan være gratis, tjenestebasert eller bruksbasert. X2 kan suspendere en misbrukende legitimasjon eller applikasjon uten å nødvendigvis suspendere hele kundekontoen.