API-reference
Offentlige API-endepunkter for udviklere: Formularer, widget, produktkonfigurator og mere.
Denne reference beskriver udelukkende ægte, offentligt anvendelige JSON-endpoints -- metode, sti, godkendelsestype, obligatoriske parametre, eksempel på request og response samt dokumenterede fejlkoder for hvert endpoint. Zentor har intet generelt API-nøglesystem til udviklere; afhængigt af ruten sker adgangen enten uden godkendelse eller via et widget-embed-token med origin-kontrol. Interne dashboard-ruter og Master Admin-endpoints er bevidst ikke en del af denne offentlige reference, da de udelukkende kan nås via den almindelige login-session.
Hver endpoint-post har en live-test-note, der oplyser, om angivelsen stammer fra registry-skemaet, en automatiseret test eller en faktisk live-observation -- blot lighed med en fungerende kodesti betragtes ikke som fuldt bevis. Et teknisk vellykket kald bekræfter desuden altid kun behandlingen af selve den pågældende request, ikke automatisk efterfølgende processer som levering af e-mail, gennemførelse af betaling eller et fuldført SSO-login.
Sikringen afhænger af den pågældende gruppe. Offentlige juridiske, marketing- og formular-endpoints kræver ingen dashboard-session. Chatwidgetten bruger derimod headeren `X-Widget-Token` og en origin-allowlist. Dashboard-login giver et session-JWT med en levetid på tolv timer og et refresh-token, der er gyldigt i syv dage. SSO-endpoints arbejder med egne engangskoder og callback-forløb.
Læs hver endpoint-side som en selvstændig kontrakt. Afgørende er HTTP-metode, sti, obligatoriske parametre, datatyper, request-body, response-struktur, fejlkoder og idempotens. Et eksempel viser et muligt format, men erstatter ikke en kontrol af det faktiske svar. Konfigurationsstatus, valideringer, tilladelser og eksterne udbydere kan ændre udfaldet.
Den bekræftede platformsdækkende rate limit er 2.000 requests inden for 15 minutter. Separate grænser pr. endpoint er ikke dokumenteret konsekvent. Klienter bør derfor ikke bruge unødigt tætte polling-løkker. Ved ikke-idempotente operationer kan automatiske gentagelser skabe duplikerede poster eller beskeder.
Følsomme værdier hører ikke hjemme i logs. Det gælder adgangskoder, nulstillingstokens, verifikationskoder, widget-tokens, session-id'er og reelle persondata i eksempler. Brug anonymiserede værdier i dokumentation og tests. Live-test-noter skal gengive det faktiske bevis korrekt.