Kimlik doğrulama

Public katalog/içerik okumaları kullanıcı tokenı istemez. Müşteri hesabı, adresler, favoriler, checkout ve sipariş işlemleri customer bearer tokenı ister; personel JWT’si veya API anahtarı bunun yerine geçmez. Gizli API anahtarını tarayıcıya gömmeyin. API anahtarı yalnız izinleri ve mağazası kapsamında çalışır. Bir istekte Authorization ile x-api-key birlikte gönderilmez.

curl https://api.sarraf.net/catalog/products \
  -H 'x-api-key: API_ANAHTARINIZ'

Bu örnek sunucuda çalıştırılır. API anahtarını .env içinde saklayın; Git’e veya tarayıcı bundle’ına koymayın. İzinler mağaza yöneticisi tarafından sınırlandırılır.