Аутентификация

Обновлено: 04.05.2025

Общая схема аутентификации по протоколу OAuth 2.0Общая схема аутентификации по протоколу OAuth 2.0

Аутентификация реализуется по протоколу OAuth 2.0:

• Client — интегрируемое приложение;
• Resource server — сервер Timetta API;
• Authorization server — Timetta Passport;
• Access token — «ключ», который надо передать API для получения доступа;
• Refresh token — второй «ключ», который нужен для запроса обновления access token.

Способы получения access tokenСпособы получения access token

Существует два способа получения access token:

1. Получение API token (представляет собой обычный access token, но со сроком жизни в 1 год).
2. Через стандартный механизм OAuth 2.0.

Получение access token через API tokenПолучение access token через API token

Этот способ рекомендуется использовать в закрытом контуре, так как токен не обновляется в течение года, что снижает уровень безопасности.

Для получения API token воспользуйтесь статьёй.

Получение и обновление access tokenПолучение и обновление access token

Для интеграционных решений используется один Authorization Grant Type — Resource Owner Password. Чтобы пройти аутентификацию, необходимо использовать адрес электронной почты и пароль одного из пользователей системы.

Для получения access token и refresh token необходимо вызвать конечную точку:

[POST] https://auth.timetta.com/connect/token
Content-Type: application/x-www-form-urlencoded

client_id=external&scope=all offline_access&grant_type=password&username=*&password=*

В ответ передаются два токена. Время жизни access token — 1 час, а refresh token — 15 дней.

Для обновления access token необходимо вызвать конечную точку:

[POST] https://auth.timetta.com/connect/token
Content-Type: application/x-www-form-urlencoded

client_id=external&scope=all offline_access&grant_type=refresh_token&refresh_token=*

В ответ также передаются два токена. То есть при каждом обновлении access token обновляется и refresh token, что обеспечивает более высокий уровень безопасности.

Обращение к APIОбращение к API

В каждый запрос к API должен быть добавлен заголовок (header) Authorization в виде строки:

Bearer ACCESS_TOKEN