كل المستندات

المصادقة

كيف تصادق على واجهة نيزا بمفاتيح الخادم ورموز Web SDK، ولماذا يجب أن تبقى المفاتيح السرية على الخادم لا في المتصفح.

تنزيل Markdown
الأدلةمرجع APIأمثلة الكودأفضل الممارسات

المصادقة

تستخدم اتصالات الخادم مفتاح API، بينما تستخدم إشارات المتصفح رمز Bearer قصير الصلاحية.

مصادقة الخادم إلى الخادم

أرسل x-api-key مع كل طلب. ويحدد المفتاح حساب المنشأة والبيئة تلقائيًا.

اختبار المفتاح لأول مرة
curl -X GET "https://api.naiza.ai/api/v1/decisions?limit=1" \
  -H "x-api-key: naiza_api_sk_live_YOUR_KEY"

تدفق مصادقة Web SDK

  1. يستدعي خادمك POST /api/v1/websdk/tokens باستخدام x-api-key.
  2. تعيد نيزا رمزًا قصير الصلاحية، مدته عادةً نحو 15 دقيقة.
  3. يرسل المتصفح الإشارات باستخدام Authorization: Bearer <token>.
  4. لا يغادر مفتاح API السري خادمك مطلقًا.

إدارة المفاتيح بأمان

  • احفظ المفاتيح في أداة لإدارة الأسرار (secret manager) أو في متغيرات البيئة على الخادم.
  • استخدم مفاتيح منفصلة للتطوير وstaging والإنتاج.
  • لا تكتب المفتاح في السجلات (logs)، ولا تضعه في كود الواجهة الأمامية (frontend bundle) أو في تطبيق الجوال.
  • غيّر المفتاح بشكل دوري، وفورًا عند الاشتباه في تسرّبه.