Аутентификация

Аутентификация выполняется HTTP‑заголовком Authorization со схемой Bearer. В качестве учётных данных используется JWT‑токен, выданный платформой.

Получение токена

JWT‑токен выпускается платформой и предоставляется мерчанту через ответственного менеджера или администратора. Самостоятельное получение токена через публичные эндпойнты не предусмотрено: эндпойнт POST /auth/businessself/login/start предназначен для входа пользователей в личный кабинет и требует подтверждения по SMS.

Атрибуты выдаваемого токена:

Применение

Заголовок добавляется к каждому запросу к мерчантскому API:

GET /balance HTTP/1.1
Host: api.menu.casino
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Идентификатор мерчанта (IDDomainEntity) в JWT‑claims не публикуется. Платформа определяет принадлежность операций мерчанту на стороне сервера по содержимому токена.

Хранение

Токен является долгоживущим секретом, эквивалентным паролю интеграции. Применяются стандартные требования к хранению секретов:

• запрет на размещение в системах контроля версий;
• запрет на встраивание в клиентские приложения и фронтенд;
• хранение в защищённом хранилище (vault, секреты CI/CD, переменные окружения серверного процесса).

При компрометации токена необходимо незамедлительно обратиться к менеджеру для выпуска нового и блокировки скомпрометированного.

Ротация

Порядок плановой замены токена:

1. Получение нового токена через менеджера. Старый токен остаётся валидным до истечения срока, указанного в exp.
2. Поэтапное обновление значения секрета на серверах интеграции.
3. Подтверждение работоспособности интеграции на новом токене.
4. Запрос отзыва старого токена через менеджера.

В период ротации одновременная работа двух токенов одного мерчанта допустима.

Диагностика ошибок аутентификации

Тестовая среда

В тестовой среде применяется отдельный токен, привязанный к тестовому мерчанту. Условия использования и контрольный перечень приведены в разделе Тестирование.