Autenticazione API
Come funzionano login dashboard e Widget Embed Token — nessun sistema Developer API Key.
La pagina «Autenticazione API in Zentor senza API Key» descrive il modello reale. Zentor non dispone di un sistema Developer API Key generale. Per il dashboard vengono usati Session JWT con durata di dodici ore e Refresh Token con durata di sette giorni; TOTP e SSO sono opzionali. I Widget Embed Token vengono mostrati in chiaro una sola volta e sono legati alle Origin autorizzate.
Il widget usa un Embed Token e controlla inoltre l'Origin. Token e autorizzazione dominio appartengono quindi insieme: un Token valido proveniente da una Origin non autorizzata non basta.
Session JWT e Widget Token non devono finire in repository di codice, log pubblici o esempi documentali. Dopo scadenza o revoca l'applicazione deve usare il previsto processo di rinnovo o login.
Le route interne Dashboard e Master Admin non fanno parte di una Developer API pubblica. Un login riuscito concede soltanto i diritti previsti dal ruolo e dal tenant attivo. Le integrazioni non devono trattare endpoint interni come interfacce pubbliche stabili.
La guida resta specifica del prodotto confermato e, in caso di problemi, richiede URL, tenant, ora e passaggio osservato senza divulgare credenziali, Token o dati personali.