Аутентификация

Каждый запрос к Tenant API должен содержать действительный API-ключ сайта. Ключи привязаны к одному сайту — использование ключа сайта A для пути сайта B возвращает 401.

API-ключи

Ключи генерируются в приложении (`fig_live_` + 48 hex-символов). Полный secret показывается один раз при создании. На сервере хранится только SHA-256 хеш.

Области доступа

Текущие ключи дают доступ на чтение к черновикам и опубликованному контенту, а также к экспорту обучения при opt-in. Операции записи выполняются через интерфейс приложения или систему контента — не через публичный REST API.

Практики безопасности

• Отзовите скомпрометированные ключи на странице API и создайте новый
• Никогда не встраивайте ключи в клиентский JavaScript
• Используйте только HTTPS — отправляйте ключи в заголовке Authorization

Привязка к сайту

Параметр пути `siteId` должен соответствовать сайту ключа. Это предотвращает межтенантный доступ даже при утечке ключа другого клиента.