01
دسترسی
API Key فقط برای پذیرنده تأییدشده و Scope مشخص صادر می‌شود. کلید باید محرمانه بماند و در کد کلاینت یا مخزن عمومی قرار نگیرد.
02
الزامات فنی
- HTTPS و Host مصوب.
- Idempotency Key برای عملیات پشتیبانی‌شده.
- اعتبارسنجی HMAC و timestamp Webhook.
- Retry با backoff و احترام به Rate Limit.
- ثبت و انتقال شناسه درخواست بدون داده حساس.
03
محدودیت استفاده
استخراج انبوه، بازفروش بدون قرارداد، دور زدن Scope، آزمون مخرب و پردازش داده خارج از هدف اعلام‌شده ممنوع است.
04
تغییر نسخه
تغییر ناسازگار با نسخه یا بازه مهاجرت اعلام می‌شود. امنیت فوری ممکن است نیازمند ابطال یا محدودسازی سریع باشد.
05
تعلیق کلید
نشت کلید، رفتار غیرعادی، بدهی، نقض شرایط یا ریسک امنیتی می‌تواند باعث تعلیق یا rotation اجباری شود.