Kimlik Doğrulama

Tüm API istekleri bir partner API anahtarı ile yetkilendirilir. Anahtarı Authorization başlığında Bearer şeması ile gönderirsiniz:

Authorization: Bearer ldg_live_…

API anahtarı ile yapılan istekler partner-düzeyi entegrasyon içindir. Bu, müşteri panelinde kullanılan oturum (JWT/OTP) yetkilendirmesinden farklıdır ve onunla karıştırılmamalıdır.

Başlık değerinin çevresinde boşluk bırakmayın

Değer tam olarak Bearer (tek boşluk) + anahtar olmalıdır. Başında ya da sonunda boşluk/satır sonu taşıyan bir Authorization başlığı geçersiz sayılır ve istek 401 alır; başlık iki kez gönderilirse de aynı sonuç doğar. Bu bir davranış değişikliğidir: daha önce sondaki boşluk göz ardı ediliyordu.

Çoğu HTTP kütüphanesi değeri zaten kırpar, bu yüzden bu durum genellikle başlığı elle kuran istemcileri (kabuk betikleri, eski SDK’lar) etkiler. Yanıt nötr 401 olduğu için teşhisi zordur — anahtarınızın geçerli olduğundan eminken 401 alıyorsanız ilk bakılacak yer budur.

Anahtar formatı

Anahtarlar bir önek ile başlar:

Önek	Kullanım
ldg_live_…	Canlı (prod) ortam
ldg_test_…	Test ortamı

Not

Anahtar önekinin ortam ayrımı ve test ortamına erişim onboarding sırasında netleştirilir. Yukarıdaki ldg_test_ örneği yalnızca format gösterimidir; kesin değer ve test ortamı bilgileri size onboarding’de verilir.

Daha önce üretilmiş ptk_ önekli anahtarlar hâlâ geçerlidir

Daha önce ptk_live_… / ptk_test_… önekiyle üretilmiş API anahtarlarınız çalışmaya devam eder. Herhangi bir işlem yapmanız (yenileme, değiştirme) gerekmez. Önek, anahtarın üretildiği ortamı gösteren görünür bir etikettir; kimlik doğrulama önekten bağımsız çalışır. Yeni önek yalnızca bundan sonra üreteceğiniz anahtarları etkiler.

Anahtar yönetimi

• Anahtar yalnızca üretildiği anda bir kez tam haliyle gösterilir. Güvenli bir yerde saklayın.
• Kaybederseniz geri alınamaz; yeni bir anahtar üretmeniz gerekir.
• Anahtarın yalnızca görünür bir kimliği (örn. son birkaç karakter) listelerde görünür.

Güvenlik

API anahtarını asla istemci tarafında (tarayıcı, mobil uygulama) ya da herkese açık bir repoda tutmayın. Anahtar yalnızca sunucu-sunucu (server-to-server) çağrılarında kullanılır. Sızması durumunda derhal yeni anahtar üretin ve eskisini iptal edin.

Yetkisiz istekler

Geçersiz, eksik ya da iptal edilmiş anahtarla yapılan istekler 401 Unauthorized ile reddedilir ve standart hata yanıtı döner.

Hesap durumunun etkisi

Hesabınız kapatılmışsa (closed) anahtarınızla yapılan her istek, sorgulamalar (GET) dahil, 403 ve partner_not_active koduyla reddedilir. Hesap yeniden açıldığında aynı anahtar kendiliğinden çalışır; yeni anahtar üretmeniz gerekmez. Hesap askıdaysa (suspended) sorgulamalar çalışır; yeni ödeme, yeni ödeme linki ve iade istekleri 403 ve partner_not_active alır.