Autentificering

WeZend bruger to typer credentials, og de fleste konto-niveau endpoints accepterer begge dele.

API-nøgler (server-til-server)

Send jeres nøgle i X-API-Key-headeren. Nøgler er knyttet til jeres konto og tiltænkt backend-til-backend-kald.

curl https://api.wezend.com/v1/account/me \
  -H "X-API-Key: $WEZEND_API_KEY"

JWT bearer-token (dashboard-sessioner)

Interaktive sessioner autentificeres med et JWT fra POST /v1/auth/login, eventuelt efterfulgt af POST /v1/auth/mfa/verify, når TOTP-MFA er aktiveret på kontoen.

curl https://api.wezend.com/v1/account/me \
  -H "Authorization: Bearer $WEZEND_JWT"

Endpoints der accepterer begge dele

En række endpoints — afsendelse af beskeder, læsning af kontodata, oprettelse af en integration — kører "fleksibel auth": de forsøger X-API-Key først og falder tilbage til et Bearer-JWT, så den samme integrationskode virker, uanset om den kaldes fra jeres backend eller udløses fra dashboardet. Endpoints under /v1/admin/* samt partner-/bureau-endpoints er undtagelsen — de er interne og kun til stab/bureauer, ikke en del af den kundevendte API-overflade.

Rotation af nøgler

Rotér en nøgle fra Indstillinger → API-nøgler → Rotér (POST /v1/account/keys/:id/rotate). Den gamle nøgle forbliver gyldig i en 24-timers overgangsperiode, så I kan redeploye med den nye nøgle uden driftsafbrydelse.

Send aldrig en API-nøgle til en browser eller mobilapp — alt, der kører på en enhed, I ikke kontrollerer, kan inspiceres. Kald WeZend fra jeres egen backend, eller brug den offentlige tracking-nøgle beskrevet i Sporing af events, som bevidst kun kan skrive og er sikker at bruge i browseren.