Uwierzytelnianie

Tensoit udostępnia dwa typy poświadczeń w zależności od tego, gdzie działa Twój kod.

Token serwerowy vs klucz widgetu

	Token API (serwer)	Klucz publiczny widgetu
Format	{id}|{secret}	pk_live_...
Użycie	Backend / serwer	JavaScript w przeglądarce
Endpointy	Pełne /v2/*	Tylko autocomplete /widget/v2/*
Bezpieczny w przeglądarce	Nie	Tak (z listą dozwolonych domen)

Token API (Bearer)

Wszystkie trasy /v2 są chronione uwierzytelnianiem tokenem Sanctum.

Nagłówek

Authorization: Bearer {token_id}|{plain_text_token}
Accept: application/json

Jak uzyskać token

Utwórz token API (serwerowy) w panelu klienta Tensoit i przechowuj go wyłącznie po stronie serwera.

Klucz publiczny widgetu (przeglądarka)

Do autocomplete we frontendzie utwórz klucz Widget (JS) w panelu klienta i postępuj zgodnie z przewodnikiem Widget JavaScript.

Przebieg:

1. POST /widget/v2/session z X-Public-Key: pk_live_... i nagłówkiem Origin przeglądarki
2. Otrzymujesz krótkotrwałą sesję sess_... (15 min)
3. Wywołuj autocomplete z Authorization: Bearer sess_...

Klucze widgetu są ograniczone do dozwolonych domen i nie mają dostępu do endpointów serwerowych.

Błędy tokena

Typowe błędy uwierzytelniania:

• 401 Unauthorized — brakujący lub nieprawidłowy token Bearer / sesja
• 403 Forbidden — token nieaktywny, wygasły lub domena niedozwolona

Zawsze wysyłaj tokeny serwerowe przez HTTPS i nigdy nie umieszczaj ich w kodzie frontendu.