Polityka dostępu do API, zakresów i uprawnień programistów
Jak X2 zapewnia modułowy dostęp API według usługi, celu i uprawnień.
1. Zasada
X2 zapewnia dostęp do technologii według celu, usługi i pozwolenia, a nie poprzez nieograniczony dostęp do platformy X2.
2. Dostęp oparty na usługach
Obsługiwane domeny API mogą obejmować katalog, prawa i publikacje, dystrybucję, analitykę, odbiorców, monetyzację społecznościową i treści UGC, tantiemy i raportowanie, weryfikację AI, weryfikację profesjonalną i inne autoryzowane usługi. Dostęp do jednej domeny nie oznacza innej.
3. Autoryzacja oparta na zakresie
Poświadczenia mogą ograniczać się do odczytu, zapisu lub wrażliwych działań, takich jak Catalog.read, Catalog.write, Rights.read, Rights.claims.submit, dystrybucja.submit, analytics.read, royalty.read lub ai.verify. Ostateczne nazwy zakresów technicznych są zdefiniowane w specyfikacji API.
4. Autoryzacja użytkownika, obszaru roboczego i organizacji
Aplikacje mogą uzyskiwać dostęp jedynie do zasobów należących do uprawnionego użytkownika, organizacji lub innego podmiotu, dla którego udzielono wyraźnego pozwolenia. Nieograniczony dostęp między klientami nie jest częścią zwykłej autoryzacji API.
5. Rejestracja aplikacji
Przed udzieleniem dostępu X2 może wymagać tożsamości programisty lub firmy, nazwy aplikacji, przeznaczenia, adresów URL przekierowań, żądanych zakresów, oczekiwanego ruchu, informacji dotyczących bezpieczeństwa, praktyk przechowywania danych i danych kontaktowych.
6. Poziomy zatwierdzenia
X2 może rozróżnić dostęp standardowy, zweryfikowany dla programistów, ograniczony oraz dostęp dla przedsiębiorstw lub partnerów w oparciu o ryzyko, funkcję i wymagania umowne.
7. Lunety wrażliwe
Przeniesienie praw, zmiany własności, zmiany beneficjentów, instrukcje dotyczące wypłaty, KYC lub dane identyfikacyjne, działania egzekucyjne, roszczenia zbiorcze i inne wrażliwe funkcje mogą wymagać ręcznego zatwierdzenia, silniejszej weryfikacji lub odrębnych umów.
8. Zezwolenia finansowe
Zezwolenie na zapoznanie się z raportami dotyczącymi tantiem nie autoryzuje automatycznie zmian beneficjentów, zmian na koncie bankowym ani inicjowania wypłaty.
9. Prawa Uprawnienia
Zezwolenie na odczyt danych dotyczących praw nie upoważnia automatycznie do przeniesienia praw, roszczeń lub zmian własności.
10. Zgoda OAuth
Aplikacje działające w imieniu użytkownika powinny żądać jawnych zakresów i jasno przedstawiać te uprawnienia. Użytkownicy powinni mieć możliwość wycofania przyszłego dostępu.
11. Brak uniwersalnego klucza API
X2 nie używa uniwersalnych danych uwierzytelniających, które automatycznie przyznają dostęp do każdej usługi. Poświadczenia powinny być powiązane z właścicielem, aplikacją, zakresami, środowiskiem, limitami i statusem.
12. Ścieżka audytu
Wrażliwe działania API mogą być rejestrowane z aktorem, aplikacją, zakresem, zasobem, akcją, czasem i wynikiem.
13. Piaskownica i produkcja
Dostęp do piaskownicy i produkcji jest oddzielny. Dostęp do produkcji może wymagać dodatkowej weryfikacji i zatwierdzenia.
14. Wewnętrzny dostęp między usługami
Ta sama zasada najniższych uprawnień dotyczy wewnętrznych usług X2. Jedna usługa powinna otrzymać jedynie uprawnienia API niezbędne do jej działania, a nie nieograniczony dostęp do bazy danych.
15. Adaptery dostawców
Zewnętrzni dostawcy DSP, dostawcy usług finansowych, organizacje praw i inne adaptery otrzymują jedynie dostęp do danych wymagany dla konkretnej integracji.
16. Eksport danych
Autoryzowani użytkownicy mogą eksportować kwalifikujący się katalog, metadane, prawa, raporty, rejestracje lub inne obsługiwane informacje bez otrzymywania niepowiązanych danych klientów, zastrzeżonych wewnętrznych zbiorów danych, informacji o bezpieczeństwie lub modeli oszustw.
17. Opłaty i zawieszenie
Dostęp do interfejsu API może być bezpłatny, oparty na usługach lub na użytkowaniu. X2 może zawiesić nieprawidłowe dane uwierzytelniające lub aplikację, niekoniecznie zawieszając całe konto klienta.