Token

I token sono credenziali utilizzate per autorizzare le richieste all’API di Altium 365. Tutte le richieste API devono includere un token valido nell’header Authorization.

I token vengono creati nel tuo Workspace in Admin → Developer. Solo gli amministratori del Workspace possono creare token.

Tipi di token

Sono disponibili due tipi di token, che differiscono per modalità d’uso e compromessi in termini di sicurezza.

Token di accesso a lunga durata

Una singola credenziale utilizzata direttamente come bearer token nelle richieste API. La sua durata viene configurata al momento della creazione, fino a un massimo di 1 anno.

Authorization: Bearer {token}

Questa è l’opzione più semplice: un solo valore, usato direttamente. Funziona bene per script, automazione e sviluppo locale, dove la facilità d’uso conta più della rotazione delle credenziali.

La limitazione principale è che il valore del token non cambia durante la sua validità. Se viene esposto, rimane valido fino alla scadenza o alla revoca manuale.

Refresh Token

Un’opzione più sicura che separa la credenziale a lunga durata da quella a breve durata usata nelle richieste API. Al momento della creazione, ricevi tre valori:

• Client ID – identifica il client del token

• Client secret – autentica il client del token

• Refresh token – la credenziale a lunga durata

Questi vengono scambiati con un access token a breve durata chiamando l’endpoint del token. Il token di accesso è ciò che utilizzi nelle richieste API. Quando scade, ne richiedi uno nuovo usando lo stesso refresh token.

Il refresh token ha una durata configurabile fino a 1 anno. I token di accesso che produce hanno una durata breve.

Questo approccio è più adatto alle integrazioni di produzione:

• La credenziale che accompagna ogni richiesta API (il token di accesso) ha una durata breve

• Il segreto a lunga durata (il refresh token) rimane nel tuo archivio sicuro e non viene mai inviato direttamente all’API

Consulta Uso di un Refresh Token per il flusso di scambio del token.

Scelta di un tipo di token

Scope

Ogni token è associato a un insieme di OAuth scopes che definiscono quali operazioni API può autorizzare. Gli scope vengono configurati al momento della creazione del token e non possono essere modificati successivamente.

Consulta OAuth Scopes per l’elenco completo degli scope disponibili e per capire come si mappano alle funzionalità dell’API.

Durata del token

Entrambi i tipi di token hanno una durata configurabile fino a 1 anno, impostata al momento della creazione. Non esiste un rinnovo automatico: una volta scaduto un token, è necessario crearne uno nuovo.

Per i refresh token, la durata si applica al refresh token stesso. I token di accesso che produce hanno una durata fissa più breve, pari a 1 ora.

Revoca di un token

I token possono essere revocati da Admin → Developer in qualsiasi momento. La revoca di un token lo invalida immediatamente: qualsiasi richiesta API che utilizza quel token non andrà a buon fine e restituirà un errore di autorizzazione.