Jak bezpiecznie przechowywać token API Vereel

Co token może, a czego nie może

Token działa w imieniu Twojej marki i tylko jej, i tylko na ofertach utworzonych przez API. Token do odczytu i zapisu może tworzyć oferty, zmieniać je, dopóki czekają na weryfikację, dodawać zdjęcia i sprawdzać ich status. Token tylko do odczytu może je jedynie czytać. Odczyt obejmuje kwoty, bo Twoje własne oferty je zawierają.

Token, który wyciekł, nie może:

• Opublikować oferty: każda oferta najpierw czeka na weryfikację Vereel.
• Usunąć oferty, rozpocząć kampanii ani przenieść pieniędzy: API nie ma takich operacji.
• Zobaczyć ofert innej marki ani Twoich ofert utworzonych w aplikacji.
• Utworzyć kolejnych tokenów: do tego potrzebna jest Twoja zalogowana sesja.

Dlaczego to nadal ma znaczenie

Każda oferta wysłana tokenem niesie Warunki Współpracy, które zaakceptowano przy tworzeniu tego tokena, więc oferta wysłana przez obcą osobę jest ofertą złożoną w Twoim imieniu. Naraz może czekać na weryfikację do 20 takich ofert, każda zajmuje czas recenzenta i każda może pojawić się na liście Twoich kampanii. Traktuj token jak podpis.

Trzymaj go tam, gdzie przeczyta go tylko Twój kod

Większość wycieków jest zwyczajna: token zostaje w skrypcie, który trafia do repozytorium, albo zostaje wklejony do czatu z prośbą o pomoc. Kilka nawyków zapobiega prawie wszystkim.

• Trzymaj go w zmiennej środowiskowej, w magazynie sekretów u dostawcy hostingu albo w sekretach swojego CI, nie w kodzie.
• Nigdy nie umieszczaj go na stronie internetowej, w aplikacji mobilnej, w arkuszu, w wiadomości na czacie ani na zrzucie ekranu. Trasy z tokenem celowo odrzucają zapytania z innych witryn, więc token na stronie nie tylko by nie zadziałał, ale mógłby go odczytać każdy.
• Nie wrzucaj go do Gita. Jeśli kiedykolwiek trafił do commita, traktuj go jak wyciekły, nawet po usunięciu commita.
• Daj każdemu narzędziu osobny token i nazwij go od narzędzia, żeby je rozróżniać i unieważniać jeden bez zatrzymywania pozostałych.

Daj mu minimum dostępu i krótkie życie

Wybierz sam odczyt dla wszystkiego, co tylko patrzy, na przykład panelu pokazującego status Twoich ofert. Odczyt i zapis wybierz tylko dla narzędzia, które tworzy oferty.

Każdy token wygasa po 30, 90 albo 365 dniach, zależnie od Twojego wyboru. Wybierz najkrótszy praktyczny okres i wpisz datę wygaśnięcia do kalendarza, bo cicho wygasły token wygląda jak awaria. Marka może mieć naraz do 10 aktywnych tokenów.

Obserwuj, czy nie korzysta z niego ktoś obcy

Ustawienia › Tokeny API pokazują każdy token z nazwą, początkiem tokena, datą utworzenia, datą wygaśnięcia i czasem ostatniego użycia, z dokładnością do minuty. Użycie, którego nie umiesz wyjaśnić, to powód, by token unieważnić.

Vereel wysyła Ci też e-mail przy każdym utworzeniu tokena na Twoim koncie. E-mail o tokenie, którego nikt u Ciebie nie tworzył, oznacza, że ktoś z dostępem do Twojego konta go utworzył: unieważnij token i zmień hasło.

Wymień go bez zatrzymywania czegokolwiek

Aby wymienić token, utwórz nowy, przekaż go narzędziu, sprawdź, że działa, i dopiero potem unieważnij stary. Unieważnienie działa od następnego zapytania, więc zrób to po przełączeniu. Nie używaj tej samej nazwy: dopisz datę, na przykład „Feed sklepu 2026-11”.

Gdy token wycieknie

Działaj najpierw, badaj potem: unieważnienie kosztuje kilka minut przerwy w pracy narzędzia i nic więcej.

• Unieważnij go od razu w Ustawieniach › Tokeny API. Następne zapytanie z nim zakończy się odmową.
• Otwórz swoje kampanie i poszukaj ofert czekających na weryfikację, których nikt nie wysyłał. Możesz tam usunąć każdą z nich.
• Jeśli nie umiesz wyjaśnić, jak wyciekł, zmień hasło i sprawdź, kiedy ostatnio używano pozostałych tokenów.
• Utwórz zamiennik i zanim go użyjesz, usuń przyczynę: wymaż token z historii repozytorium, czatu albo pliku, w którym był widoczny.