Token

I token sono credenziali utilizzate per autorizzare le richieste all'API di Altium 365. Tutte le richieste API devono includere un token valido nell'intestazione Authorization.

I token vengono creati nel tuo Workspace in Admin → Developer. Solo gli amministratori del Workspace possono creare token.

Tipi di token

Sono disponibili due tipi di token, che differiscono per modalità d'uso e compromessi in termini di sicurezza.

Token di accesso a lunga durata

Una singola credenziale utilizzata direttamente come bearer token nelle richieste API. La sua durata viene configurata al momento della creazione, fino a un massimo di 1 anno.

Authorization: Bearer {token}

Questa è l'opzione più semplice: un solo valore, usato direttamente. È adatta a script, automazione e sviluppo locale, quando la facilità d'uso conta più della rotazione delle credenziali.

La limitazione principale è che il valore del token non cambia durante la sua validità. Se viene esposto, rimane valido fino alla scadenza o alla revoca manuale.

Refresh Token

Un'opzione più sicura che separa la credenziale a lunga durata da quella a breve durata usata nelle richieste API. Al momento della creazione, ricevi tre valori:

• Client ID – identifica il client del token

• Client secret – autentica il client del token

• Refresh token – la credenziale a lunga durata

Questi vengono scambiati con un access token a breve durata chiamando l'endpoint del token. L'access token è ciò che utilizzi nelle richieste API. Quando scade, ne richiedi uno nuovo usando lo stesso refresh token.

Il refresh token ha una durata configurabile fino a un massimo di 1 anno. Gli access token che produce hanno durata breve.

Questo approccio è più adatto alle integrazioni in produzione:

• La credenziale che accompagna ogni richiesta API (l'access token) ha durata breve

• Il segreto a lunga durata (il refresh token) rimane nel tuo archivio sicuro e non viene mai inviato direttamente all'API

Vedi Uso di un Refresh Token per il flusso di scambio del token.

Scelta del tipo di token

Ambiti

Ogni token è associato a un insieme di OAuth scopes che definiscono quali operazioni API può autorizzare. Gli ambiti vengono configurati quando il token viene creato e non possono essere modificati successivamente.

Vedi OAuth Scopes per l'elenco completo degli ambiti disponibili e per capire come si mappano alle funzionalità dell'API.

Durata del token

Entrambi i tipi di token hanno una durata configurabile fino a un massimo di 1 anno, impostata al momento della creazione. Non esiste rinnovo automatico: una volta scaduto un token, è necessario crearne uno nuovo.

Per i refresh token, la durata si applica al refresh token stesso. Gli access token che produce hanno una durata più breve e fissa.

Revoca di un token

I token possono essere revocati da Admin → Developer in qualsiasi momento. La revoca di un token lo invalida immediatamente: tutte le richieste API che usano quel token non andranno a buon fine e restituiranno un errore di autorizzazione.