Uwierzytelnianie

Dwie drogi do środka, jedna zasada: o mechanizmie decyduje to, kto jest właścicielem danych.

Personal access tokeny

PAT działa jako Ty — sięga wyłącznie do Twoich własnych list, produktów i profilu. Zwykłe Authorization: Bearer pon_pat_…, nic więcej. Używaj go do skryptów, zadań crona, Home Assistant, dashboardów.

• Tworzysz je na my.pon.app → Tokeny dostępu, ze scope’ami per token.
• Wygaśnięcie: domyślnie 90 dni, maksymalnie 365 albo — jeśli chcesz — nigdy.
• Do 10 tokenów na konto; sekret jest pokazywany dokładnie raz.
• PAT-y obejmują scope’y list, produktów i profilu — scope’y media są zarezerwowane dla aplikacji OAuth.

Aplikacje logujące innych użytkowników

Wszystko powyżej dotyczy Twojego konta. Gdy aplikacja loguje innych użytkowników pon, działa przez OAuth 2.1 na hostowanym logowaniu (auth.pon.app) — takich klientów partnerskich konfigurujemy indywidualnie. Budujesz coś takiego? Napisz na [email protected], pomożemy Ci wystartować.

Scope’y

Proś o najmniejszy zestaw, który działa — zawsze możesz utworzyć kolejny token z szerszym zakresem.

Błędy, które spotkasz

• 401 UNAUTHORIZED — brakujący/wygasły token albo problem z dowodem DPoP (nagłówek WWW-Authenticate mówi, który to przypadek).
• 403 DEVELOPER_MODE_REQUIRED — na koncie nigdy nie włączono trybu dewelopera.
• 403 EMAIL_UNVERIFIED — najpierw potwierdź adres e-mail konta.