Ключ API только на чтение: зачем он и чем опасен полный доступ
Любой сервис с полным ключом может собрать поставку, сменить цену или удалить карточку. Для очереди дел это не нужно: достаточно читать кабинет. Ниже - как это устроено на каждой площадке.
Полный ключ - это право менять кабинет
API площадки не разделяет «наш сервис» и «чужой скрипт». Если токену разрешено создавать поставку, менять цену или удалять карточку, любой, у кого этот токен есть, может это сделать. Пароль от кабинета вы не отдаёте, а полный ключ по действию ближе к паролю, чем к «ссылке на отчёт».
Для очереди дел запись не нужна. Нужно читать новые сборки, ошибки карточек и остатки. На всех шести площадках для этого есть режим только чтения. Если сервис просит «все категории» или «Admin без read only» - это уже другой продукт, не очередь.
Как это называется в кабинете
| Вайлдберриз | Персональный токен, уровень «Только чтение». Категории: Маркетплейс, Контент, Аналитика, Статистика. Живёт 180 дней, потом дублировать. |
|---|---|
| Озон | Seller API, роль «Admin read only». Ключ не истекает. Client ID копируется отдельно от ключа. |
| Яндекс Маркет | Токен ACMA, доступы «Просмотр информации о заказах» и «Просмотр товаров и карточек» - или один «Просмотр всех данных». |
| Мегамаркет | Один авторизационный токен на кабинет. Он общий для 1С и CRM. Сбрасывать его, чтобы «выдать Треке», нельзя: отвалятся остальные интеграции. Мы только читаем, webhook-поля не заполняем. |
| Lamoda | Ключи v2 выдаёт KAM. В письме просите чтение заказов, остатков FBS и номенклатуры. Короткий токен сервис получает сам при каждом чтении. |
| Авито | Приложение в профиле владельца объявлений: client_id и client_secret. Временный токен на 24 часа, ничего не публикуем. |
Чего в ключе быть не должно
- Категорий рекламы, финансов, чатов - Треке их не читает, площадке не зачем их открывать.
- Роли с записью «на всякий случай». Её потом не видно в интерфейсе сервиса, она живёт в кабинете площадки.
- Токена сотрудника вместо владельца там, где площадка это запрещает (WB, Авито).
Ключ в Треке лежит на сервере в России, в зашифрованном виде. Удаляется вместе с кабинетом или аккаунтом, восстановить нельзя. Это не отменяет правило: если ключ светился в переписке, его лучше перевыпустить.
Пошаговые пути по меню
Эта страница - зачем так делать. Кнопки в кабинете - на страницах ключей:
- Ключ API Wildberries только чтение
- Ключ Seller API Ozon только на чтение
- Токен API Яндекс Маркета только на просмотр
- Авторизационный токен API Мегамаркета
- Ключи Seller API v2 Lamoda
- Client ID и secret приложения Avito API
Как из этих чтений собирается список дел - в статье одна очередь вместо шести кабинетов.
Треке читает кабинеты каждые 15 минут и складывает горящее в одну очередь. Ключ только на чтение, 14 дней без карты. Начать бесплатно · как подключить площадку.