API Access

AutenticazioneCopia il link alla sezione

Usa la sessione autenticata della dashboard. Le richieste che modificano la configurazione devono includere l’header Origin esatto della dashboard. Sostituisci SITE-ID e ACCOUNT-ID con gli ID del sito e dell’account.

Leggi la revision corrente prima di salvare e includila nel corpo del PUT. La risposta contiene la nuova revisione e la configurazione con i segreti oscurati. Per la prima configurazione, usa una revisione vuota.

Configura Zero Trust dopo aver creato il sito. Le modifiche generali al sito conservano le impostazioni Zero Trust.

Corpo della configurazioneCopia il link alla sezione

Questo esempio protegge /admin per un indirizzo email verificato:

Salva prima i provider tramite l’endpoint dell’account. Le risposte GET e PUT contengono config (provider con segreti oscurati, revisione ed eventuale avviso) e websites (ID, hostname e alias per i callback). Usa config.revision per aggiornare i provider.

Corpo PUT dei provider dell’account:

{
  "revision": "CURRENT-ACCOUNT-PROVIDER-REVISION",
  "providers": [{
    "id": "company-google",
    "name": "Google",
    "kind": "google",
    "client_id": "GOOGLE-CLIENT-ID",
    "client_secret": "GOOGLE-CLIENT-SECRET"
  }]
}

Corpo PUT delle applicazioni del sito:

{
  "revision": "CURRENT-REVISION",
  "applications": [{
    "id": "administration",
    "name": "Administration",
    "enabled": true,
    "hostname": "private.example.com",
    "path": "/admin",
    "session_seconds": 3600,
    "provider_ids": ["company-google"],
    "policies": [{
      "id": "administrators",
      "name": "Administrators",
      "action": "allow",
      "emails": ["admin@example.com"],
      "email_domains": [],
      "subjects": []
    }]
  }]
}

Un segreto del provider vuoto conserva il valore salvato solo se provider, ID client ed endpoint delle credenziali non cambiano. Fornisci un nuovo segreto quando modifichi questi valori.

Gli aggiornamenti ai provider invalidano le sessioni delle applicazioni dell’account. Non puoi eliminare un provider usato da un’applicazione. Una revisione superata restituisce HTTP 409: ricarica prima di riprovare.

Attività di accessoCopia il link alla sezione

Le risposte contengono fino a 100 eventi e un next_cursor per la paginazione. Usa Export all logs nella dashboard per scaricare tutta l’attività disponibile.

LimitiCopia il link alla sezione

Gli ID dei provider devono essere univoci nell’account; quelli delle applicazioni devono essere univoci nel sito. Ometti providers nei payload del sito: le richieste che lo includono vengono rifiutate con un avviso sulla configurazione dell’account. Consulta Regole di accesso per il comportamento dei selettori.