Autenticazione

Ogni chiamata all'API Sterna deve essere autenticata. L'autenticazione avviene tramite una API key, una credenziale segreta che identifica il tuo account e che ti viene fornita da Sterna.

Come si autentica una chiamata

La tua API key va inserita nell'intestazione (header) Authorization di ogni richiesta, preceduta dalla parola Bearer e da uno spazio. L'header ha sempre questa forma:

Authorization: Bearer LA_TUA_API_KEY

Tutte le chiamate che vedrai in questa guida includono questo header. Se manca, o se la chiave non è valida, l'API risponde con un errore di autenticazione.

Chiavi test e chiavi live

Ogni API key appartiene a uno di due ambienti, e lo capisci dal prefisso della chiave stessa:

• Chiave test — Ha un prefisso del tipo stk_test_.... Serve a sviluppare e provare l'integrazione. Gli ordini creati con una chiave test vengono simulati: non generano eSIM reali e non hanno alcun costo.
• Chiave live — Ha un prefisso del tipo stk_live_.... Serve all'operatività reale. Gli ordini creati con una chiave live generano eSIM reali e consumano il tuo plafond.

Il consiglio è di sviluppare e collaudare sempre con la chiave test, e passare alla chiave live solo quando l'integrazione è completa e verificata.

I permessi della chiave (scopes)

Oltre all'ambiente, ogni API key ha dei permessi, chiamati scopes, che determinano quali operazioni può compiere:

• `read` — Permette di leggere i dati: catalogo, ordini, informazioni sull'account.
• `write` — Permette di creare ordini.

Una chiave che ha solo il permesso read non può creare ordini: un tentativo di farlo riceve un errore. Per creare ordini, la chiave deve avere il permesso write.

Sicurezza della tua API key

La tua API key è una credenziale riservata: chi la possiede può operare a tuo nome. Trattala con la stessa cura di una password.

• Non condividerla con nessuno e non inviarla via canali non sicuri.
• Non inserirla in codice pubblico, repository condivisi o pagine web visibili agli utenti finali.
• Usala solo dal codice del tuo server, mai nel codice che gira sul browser o sui dispositivi dei tuoi clienti.