API-toegang, bereik en beleid voor ontwikkelaarsrechten
Hoe X2 modulaire API-toegang verleent op basis van service, doel en toestemming.
1. Principe
X2 biedt toegang tot technologie op basis van doel, service en toestemming in plaats van door onbeperkte toegang tot het X2-platform.
2. Op services gebaseerde toegang
Ondersteunde API-domeinen kunnen Catalogus, Rechten & Publicatie, Distributie, Analyses, Publiek, Sociale & UGC-inkomsten genereren, Royalty's & Rapportage, AI-verificatie, Professionele verificatie en andere geautoriseerde services omvatten. Toegang tot het ene domein impliceert niet het andere.
3. Op scope gebaseerde autorisatie
Inloggegevens kunnen beperkt zijn tot lezen, schrijven of gevoelige acties zoals catalog.read, catalog.write, rights.read, rights.claims.submit, distribution.submit, analytics.read, royalties.read of ai.verify. De definitieve namen van technische scopes worden gedefinieerd in de API-specificatie.
4. Autorisatie van gebruiker, werkruimte en organisatie
Applicaties hebben uitsluitend toegang tot bronnen die toebehoren aan de geautoriseerde gebruiker, organisatie of andere entiteit waarvoor expliciet toestemming is verleend. Onbeperkte toegang voor meerdere klanten maakt geen deel uit van de gewone API-autorisatie.
5. Applicatieregistratie
X2 kan de identiteit van de ontwikkelaar of het bedrijf, de naam van de applicatie, het beoogde doel, de omleidings-URL's, het aangevraagde bereik, het verwachte verkeer, beveiligingsinformatie, praktijken voor het bewaren van gegevens en contactgegevens vereisen voordat toegang wordt verleend.
6. Goedkeuringsniveaus
X2 kan onderscheid maken tussen standaard-, geverifieerde ontwikkelaar-, beperkte en ondernemings- of partnertoegang op basis van risico, functie en contractuele vereisten.
7. Gevoelige reikwijdten
Voor rechtenoverdrachten, eigendomswijzigingen, wijzigingen van begunstigden, uitbetalingsinstructies, KYC- of identiteitsgegevens, handhavingsacties, bulkclaims en andere gevoelige functies kunnen handmatige goedkeuring, strengere verificatie of afzonderlijke overeenkomsten nodig zijn.
8. Financiële machtigingen
Toestemming om royaltyrapporten te lezen geeft niet automatisch toestemming voor wijzigingen in de begunstigde, wijzigingen in bankrekeningen of het initiëren van uitbetalingen.
9. Rechtenmachtigingen
Toestemming om rechtengegevens te lezen geeft niet automatisch toestemming voor rechtenoverdrachten, claims of eigendomswijzigingen.
10. OAuth-toestemming
Applicaties die namens een gebruiker optreden, moeten expliciete scopes aanvragen en deze machtigingen duidelijk presenteren. Gebruikers moeten toekomstige toegang kunnen intrekken.
11. Geen universele API-sleutel
X2 maakt geen gebruik van een universele referentie die automatisch toegang verleent tot elke dienst. Referenties moeten worden gekoppeld aan een eigenaar, applicatie, scopes, omgeving, limieten en status.
12. Audittraject
Gevoelige API-acties kunnen worden vastgelegd met actor, applicatie, bereik, resource, actie, tijd en resultaat.
13. Sandbox en productie
Sandbox- en productietoegang zijn gescheiden. Voor toegang tot de productie kan aanvullende verificatie en goedkeuring nodig zijn.
14. Interne toegang van service tot service
Hetzelfde principe van de minste privileges is van toepassing op interne X2-services. Eén service zou alleen de API-machtigingen moeten krijgen die nodig zijn voor zijn functie, in plaats van onbeperkte databasetoegang.
15. Provideradapters
Externe DSP's, financiële dienstverleners, rechtenorganisaties en andere adapters krijgen alleen de datatoegang die nodig is voor de specifieke integratie.
16. Gegevensexport
Geautoriseerde gebruikers kunnen in aanmerking komende catalogi, metagegevens, rechten, rapporten, registraties of andere ondersteunde informatie exporteren zonder niet-gerelateerde klantgegevens, eigen interne datasets, beveiligingsinformatie of fraudemodellen te ontvangen.
17. Vergoedingen en opschorting
API-toegang kan gratis, servicegebaseerd of gebruiksgebaseerd zijn. X2 kan een onrechtmatige inloggegevens of applicatie opschorten zonder noodzakelijkerwijs de gehele klantaccount op te schorten.