Uwierzytelnianie i klucze API
Każde żądanie do publicznego API, z SDK lub przez REST, zawiera klucz API jako token typu bearer:
Authorization: Bearer <api-key>
Tworzenie klucza
Kluczami API zarządza się w Ustawienia → Organizacja → Klucze API (app.requiply.com/settings/org/api-keys). Tę stronę widzą tylko członkowie zespołu z rolą Administrator.
- Kliknij Utwórz klucz.
- W polu Nazwa wpisz, gdzie klucz jest używany, na przykład Strona w Lovable albo Synchronizacja z księgowością.
- Wybierz Typ: Publiczny lub Tajny.
- Kliknij Utwórz klucz, a potem skopiuj klucz z okna Zapisz teraz ten klucz.
Tabela pokazuje każdy klucz z nazwą, typem, zamaskowaną wartością w kolumnie Klucz (prefiks i ostatnie cztery znaki, co wystarcza, by odróżnić klucze), datą utworzenia i datą w kolumnie Ostatnie użycie. Ołówek zmienia nazwę klucza. Ikona zakazu go unieważnia: unieważniony klucz przestaje działać natychmiast i nie można go przywrócić. Włącz Pokaż unieważnione, aby zobaczyć unieważnione klucze.
Wybór typu klucza
Klucz publiczny (rq_pk_…) | Klucz tajny (rq_sk_…) | |
|---|---|---|
| Gdzie go używać | Kod przeglądarki, strona internetowa, aplikacja mobilna | Tylko kod na serwerze i zmienne środowiskowe |
| Dane organizacji, katalog, usługi | Tak | Tak |
| Dostępność i wyceny | Tak | Tak |
| Rezerwacje | Tylko zapytania o rezerwację (asRequest: true) | Tworzenie, lista, odczyt, dodawanie notatek |
| Towary na sprzedaż | Przeglądanie i dodawanie do zapytania o rezerwację, gdy organizacja sprzedaje klientom | Wszystko z Sprzedaży |
| Klienci, raporty, stan sprzętu, podsumowanie organizacji | Nie | Tak |
| Pozycje z podnajmu od dostawców | Nigdy | Gdy podnajem jest włączony |
| Korekty kosztu rezerwacji, rezerwacje poza godzinami pracy | Nie | Tak |
Pełna lista według punktów końcowych znajduje się w dokumentacji REST API.
Klucze publiczne
Klucz publiczny widzi każdy, kto otworzy kod źródłowy Twojej strony, a API przyjmuje go z dowolnego źródła. Bezpieczny jest dzięki swojemu zakresowi: odczytuje katalog, wycenia i wysyła zapytania o rezerwację, które pracownicy zatwierdzają w aplikacji. Nigdy nie widzi danych klientów ani raportów, nigdy sam nie blokuje sprzętu i nie może kupić towarów ponad stan magazynowy. Jeśli klucz zostanie nadużyty, unieważnij go i utwórz nowy.
const requiply = new RequiplyClient({ apiKey: 'rq_pk_live_...' });
Klucze tajne
Klucz tajny działa w imieniu całej organizacji, a nie członka zespołu. Trzymaj go w kodzie po stronie serwera i w zmiennych środowiskowych:
REQUIPLY_SECRET_KEY=rq_sk_live_...
const requiply = new RequiplyClient({
apiKey: process.env.REQUIPLY_SECRET_KEY!,
});
NEXT_PUBLIC_… lub NUXT_PUBLIC_….SDK odrzuca klucz rq_sk_ w przeglądarce. Ma obejście dangerouslyAllowSecretKeyInBrowser dla narzędzi lokalnych, którego integracje produkcyjne nigdy nie powinny ustawiać.
Limity żądań
Każdy klucz może wykonać 100 żądań na minutę. Kolejne żądania dostają 429 z nagłówkiem Retry-After w sekundach, który SDK udostępnia jako RequiplyError.retryAfter. Przeglądarki nie mogą odczytać tego nagłówka między różnymi źródłami, więc sklep internetowy powinien odczekać kilka sekund przed ponowną próbą. Zobacz Obsługa błędów.
Żądania między źródłami
Publiczne API odpowiada na żądania z dowolnego źródła, więc nie trzeba rejestrować żadnej domeny. Przeglądarki mogą wysyłać nagłówki Authorization, Accept i Content-Type. Żądanie z innego źródła z innym niestandardowym nagłówkiem jest blokowane, zanim dotrze do Requiply.
Brak trybu testowego
Każdy klucz działa na prawdziwych danych. W interaktywnej dokumentacji i wersjach demonstracyjnych używaj klucza publicznego z organizacji demonstracyjnej, a wszystko, co tworzy rezerwacje lub sprzedaż, kieruj do organizacji, której rekordy możesz usunąć.
Agenci AI i MCP
Ten sam klucz tajny otwiera też serwer MCP Requiply dla agenta, którego budujesz samodzielnie. Wysyłaj go jako token typu bearer na adres https://api.requiply.com/api/mcp. Agent dostaje narzędzia dla całej organizacji, na które pozwala klucz tajny, a zapis nadal przechodzi przez etap „najpierw podgląd, potem potwierdzenie” opisany na tamtej stronie. Asystenci tacy jak Claude i ChatGPT łączą się zamiast tego przez OAuth i nie potrzebują klucza. Klucze publiczne nie otwierają serwera MCP.