OAuth-alkalmazások: „Csatlakozás a Sayweekhez” a saját appodban

Ha a saját termékedbe, ügynökségi eszközödbe vagy ügyfeled rendszerébe szeretnél „Csatlakozás a Sayweekhez” gombot, regisztrálj egy OAuth-alkalmazást. Bármelyik Sayweek-felhasználó összekapcsolhatja a saját munkaterével: egy engedélyező oldalon látja, mit kér az app, és egy kattintással jóváhagyja. API-kulcsot senkinek nem kell másolnia.

Alkalmazás regisztrálása

1. 1Nyisd meg a Beállítások → Összes integráció oldalt, és kattints a REST API kártyára (tulajdonosi jog és API-t tartalmazó csomag kell).
2. 2Az OAuth-alkalmazások résznél kattints az Alkalmazás regisztrálása gombra.
3. 3Írd be az app nevét (Az alkalmazás neve) – ezt látják a felhasználók, a „Sayweek” szó nem lehet benne. A logó és a weboldal csak https:// cím lehet.
4. 4A Visszairányítási címek mezőbe soronként egy címet írj: https://, fejlesztéshez http://localhost vagy http://127.0.0.1 is jó. A címnek pontosan egyeznie kell.
5. 5A Mit kérhet az alkalmazás? résznél jelöld be a jogosultságokat, az Alkalmazás típusa résznél pedig válassz szerveroldali vagy böngészős/mobil változatot.
6. 6Kattints a Mentés gombra, és másold ki a Client ID értékét és a Client secret – csak most látod titkot (titkos kulcsos appnál).

Szerveroldali vagy nyilvános kliens?

• Szerveroldali (titkos kulccsal) – a saját szervered váltja be a kódot a client secrettel és PKCE-vel. A secretet tartsd a szerveren, soha ne a böngészőben vagy az appban.
• Böngészős, mobil vagy CLI (titok nélkül) – nem tud titkot őrizni, ezért csak a PKCE védi. Ha később mégis kell secret, az Új secret gomb titkos kulcsossá teszi.

Így működik a csatlakozás

1. 1Küldd a felhasználót a /oauth/authorize címre ezekkel: response_type=code, client_id, redirect_uri, scope (pl. read write), state és a PKCE-hez code_challenge + code_challenge_method=S256.
2. 2A felhasználó belép a Sayweekbe, és az engedélyező oldalon látja az app nevét, logóját és a kért jogosultságokat – ezeket szűkítheti is.
3. 3Jóváhagyás után visszairányítjuk a redirect_uri címre egy egyszer használható code értékkel (10 percig érvényes).
4. 4A szervered a /api/oauth/token végponton beváltja a kódot a code_verifier értékkel (és a secrettel): 1 órás access tokent és 30 napos refresh tokent kapsz. Frissítéskor mindkettő új lesz – a régi refresh token többé nem használható.

Jogosultságok

• read – Olvasás: márkák, csatornák, heti terv, posztok, ötletek, statisztika.
• write – Piszkozatok és ötletek: piszkozatot ír és szerkeszt, közzététel nélkül; webhookra is feliratkozhat.
• approve – Jóváhagyás: valódi ütemezés, csak ha a munkatérben engedélyezve van. Alapból sosem kérjük – csak ha a scope kifejezetten tartalmazza.

Kapcsolatok visszavonása

A felhasználók a REST API kártya Kapcsolódó alkalmazások listájában látják, mely appok férnek hozzá a munkaterükhöz; a Visszavonás gomb azonnal érvényteleníti a tokeneket, és törli az app által létrehozott webhookokat is. Te, fejlesztőként, a saját alkalmazásodnál a Kikapcsolás gombbal minden kapcsolatot szüneteltethetsz, a Törlés gombbal pedig véglegesen megszüntetheted. Programból a /api/oauth/revoke végpont vonja vissza a tokent.