Kimlik doğrulama
API anahtarları, kapsamlar, ürün sınırlaması, süre ve güvenlik kuralları.
API, kişisel API anahtarıyla kimlik doğrular. Anahtar hz_ ile başlar ve 43 karakterlik rastgele bir değerle devam eder. Daha önce oluşturulan v360_ önekli anahtarlar süreleri dolana dek çalışmaya devam eder.
GET /v1/portal/servers HTTP/1.1
Host: api.haizora.com
Authorization: Bearer hz_...Anahtar tek bir hesaba bağlıdır
Anahtar oluşturulduğu hesaba bağlıdır ve başka hiçbir hesabın kaynağına ulaşamaz; hesap bilgisi istekten değil anahtarın kendisinden okunur. Yetkisi, oluşturan kişinin o hesaptaki GÜNCEL rolünü aşamaz: rol her istekte yeniden okunur.
- Kişi hesaptan çıkarılırsa (ya da kullanıcı veya hesap silinirse) anahtar o anda geçersiz olur.
- Kişinin rolü düşürülürse anahtarın yetkisi de düşer.
Kapsamlar
| Kapsam | İzin verilen | Not |
|---|---|---|
read | Yalnız GET ve HEAD | Hesapta salt okunur (viewer) rol gibi davranır; sahip/yöneticiye özel okumalar (ör. kubeconfig) kapalıdır. |
write | Bütün yöntemler | Oluşturan kişinin güncel rolüyle çalışır. |
Ürünle sınırlama
Anahtar oluştururken ürün listesi verirseniz anahtar yalnız o ürünlerin yollarına erişir. Listede olmayan ya da hiçbir ürüne ait olmayan yol kısıtlı anahtara kapalıdır (TOKEN_SCOPE).
| Ürün anahtarı | Açılan yollar |
|---|---|
servers | /portal/servers |
domains | /portal/domains |
managed | /portal/panel-accounts |
functions | /portal/functions |
apps | /portal/apps |
cdn | /portal/cdn |
waf | /portal/waf |
k8s | /portal/k8s |
gpu | /portal/gpu |
monitors | /portal/monitors |
ssl | /portal/ssl |
email | /portal/email |
sms | /portal/sms |
ai | /portal/ai |
bots | /portal/bots |
sites | /portal/sites |
studio | /portal/studio |
billing | /portal/billing, /portal/orders, /portal/wallet |
support | /portal/support |
audit | /portal/audit-log |
Süre ve sınırlar
- Varsayılan geçerlilik 90 gün, en çok 365 gün; süresiz anahtar da oluşturulabilir.
- Her kullanıcının her hesapta en çok 25 etkin anahtarı olabilir (
LIMIT_REACHED). - Salt okunur roldeki üye yazma yetkili anahtar oluşturamaz.
- Hız sınırı anahtar başınadır: bkz. Hız sınırları.
Anahtarla yapılamayanlar
Sızan bir anahtar kendini çoğaltamasın diye anahtar, ekip ve davet işlemleri yalnız panelden oturum açarak yapılır; anahtarla denenirse TOKEN_FORBIDDEN döner. Anahtar, oluşturan kişi Haizora personeli olsa bile işletmeci yetkisi taşımaz.
Güvenlik
- Sunucuda anahtarın yalnız SHA-256 özeti saklanır; düz hali yalnız oluşturulurken bir kez gösterilir.
- Anahtarı koda yazmayın;
HAIZORA_TOKENortam değişkeni ya da CI gizli değeri kullanın. - Panelde her anahtarın son kullanım zamanı ve IP adresi görünür; şüpheli anahtarı hemen iptal edin.
- Yapılan her değişiklik hesabın denetim kaydına düşer.