Uwierzytelnianie

API ma dwa rodzaje dostępu. Oba przekazujesz w nagłówku Authorization: Bearer ….

	Klucz API	Token klientki
Kto używa	Twój serwer	Przeglądarka albo aplikacja klientki
Wygląd	pk_test_…, pk_live_…	JWT
Ważność	Do unieważnienia w panelu	Najwyżej 1 godzina
Do czego	Butiki, produkty, wydawanie tokenów	Sylwetka, przymiarki, zdarzenia, usunięcie danych

Klucz API

• Tworzysz go w panelu (Deweloper → Klucze API). Pełną wartość widać tylko raz, my trzymamy wyłącznie jej skrót.
• Testowy do integracji, produkcyjny do prawdziwego ruchu.
• Trzymaj go tylko na serwerze, w zmiennej środowiskowej. Nigdy w kodzie aplikacji, repozytorium ani przeglądarce.
• Wyciekł? Unieważnij go w panelu, przestanie działać od razu.

Token klientki

POST /v1/session-tokens z kluczem API:

{ "external_user_id": "klientka-42", "shop_id": "butik-a", "ttl_s": 3600 }

• external_user_id to identyfikator klientki w Twoim systemie. Pod nim trzymamy jej sylwetkę i przymiarki.
• shop_id (opcjonalnie) wiąże token z butikiem.
• daily_tryon_limit (opcjonalnie) to dzienny limit nowych przymiarek tej klientki: wyższy dla stałych klientek albo 0, żeby ją zablokować. Bez pola obowiązuje limit firmy z panelu (domyślnie 20).
• GET /v1/session z tokenem zwraca tenant_id, external_user_id, shop_id i mode (test albo live). Przydaje się przy diagnozie integracji.
• Token wygasł? API odpowie 401 invalid_session_token. Pobierz nowy z Twojego backendu i powtórz zapytanie. Widżet i SDK robią to same.

Limit zapytań

Na klucz i na klientkę obowiązuje limit na minutę. Po przekroczeniu dostaniesz 429 rate_limited z nagłówkiem Retry-After.