Xác thực

Mỗi request gửi API key trong header X-API-Key:

X-API-Key: evf_live_<key_id>_<secret>

• API chỉ đọc key từ header X-API-Key. Key đặt trong Authorization, query string hoặc body sẽ bị bỏ qua và request nhận 401 UNAUTHENTICATED.
• Thiếu key hoặc key sai cũng nhận 401 UNAUTHENTICATED.

Chỉ gọi từ máy chủ

API key là bí mật. Chỉ gọi API từ máy chủ của bạn. Không đặt key trong trình duyệt, ứng dụng di động hoặc mã nguồn công khai.

Trình duyệt chỉ được gọi API từ trang tài liệu này, cho chức năng Gửi thử ở Tham chiếu API. Request từ trang web khác (có header Origin khác) nhận 403 ORIGIN_NOT_ALLOWED.

Lưu key an toàn

Key chỉ hiển thị một lần, lúc tạo ứng dụng hoặc lúc tạo lại khoá. VTS không lưu key gốc nên không thể xem lại. Hãy lưu key trong secret manager hoặc biến môi trường của máy chủ, không commit vào mã nguồn.

Giới hạn IP

Mỗi ứng dụng có thể chỉ cho phép một số địa chỉ IP hoặc dải CIDR gọi API (IPv4 và IPv6, tối đa 20 mục). Khi đã bật, request từ IP khác nhận 403 IP_NOT_ALLOWED và không trừ lượt.

Đổi key

Dùng Tạo lại khoá trong mục Tích hợp API để cấp key mới cho ứng dụng. Key cũ ngừng hoạt động, nên hãy cập nhật key mới vào hệ thống của bạn ngay.

Thu hồi key

• Thu hồi ứng dụng làm key ngừng hoạt động. Request sau đó nhận 403 APP_DISABLED. Thay đổi có thể mất tới 30 giây để có hiệu lực.
• Ứng dụng đã thu hồi không khôi phục được. Muốn tích hợp lại, hãy tạo ứng dụng mới.
• Ứng dụng có ngày hết hạn sẽ nhận 403 APP_DISABLED sau ngày đó.

Nghi ngờ lộ key

Tạo lại khoá hoặc thu hồi ứng dụng ngay.