Autenticazione

Chiavi API per sito con storage hashato e visualizzazione solo del prefisso.

Ogni richiesta Tenant API deve includere una chiave API sito valida. Le chiavi sono legate a un sito — usare la chiave del sito A sul percorso del sito B restituisce 401.

Chiavi API

Le chiavi vengono generate nell'app (`fig_live_` + 48 caratteri hex). Il secret completo viene mostrato una sola volta alla creazione. Lato server memorizziamo solo un hash SHA-256.

Ambiti

Le chiavi attuali concedono accesso in lettura a contenuti in bozza e pubblicati, più export training se opt-in. Le operazioni di scrittura usano l'interfaccia dell'app o il sistema di contenuti — non l'API REST pubblica.

Pratiche di sicurezza

Revoca le chiavi compromesse nella pagina API e creane una nuova
Non incorporare mai le chiavi in JavaScript lato client
Usa solo HTTPS — invia le chiavi nell'header Authorization

Header Authorization

Authorization: Bearer fig_live_abc123...
Content-Type: application/json

Vincolo al sito

Il parametro di percorso `siteId` deve corrispondere al sito della chiave. Questo impedisce l'accesso cross-tenant anche se una chiave di un altro cliente trapelasse.