Tokeny API

Tokeny API służą do uwierzytelniania zapytań do API Ogarni.AI. Każdy token jest powiązany z Twoim kontem i posiada określone uprawnienia.

Tworzenie tokenu

1. Pobierz aplikację mobilną Ogarni.AI (App Store | Google Play)
2. Zaloguj się do aplikacji
3. Przejdź do Ustawienia > Tokeny API
4. Kliknij Utwórz nowy token
5. Nadaj tokenowi nazwę (np. “Skrypt analityczny”)
6. Wybierz uprawnienie (scope)
7. Skopiuj token

Uwaga

Token jest wyświetlany tylko raz przy tworzeniu. Nie da się go później odczytać — w razie utraty musisz utworzyć nowy.

Format tokenu

Tokeny mają prefix oai_ po którym następuje zakodowany payload (base64url) i podpis HMAC-SHA256:

oai_eyJhbGciOiJIUzI1NiJ9...

Prefix oai_ pozwala na łatwą identyfikację tokenów w logach i systemach bezpieczeństwa.

Uprawnienia (scopes)

Uprawnienie	Dostęp	Limit zapytań/h
read	Odczyt wszystkich zasobów	1 000
write	Odczyt + zapis	2 000
admin	Pełny dostęp, w tym zarządzanie tokenami	5 000

Wskazówka

Zawsze wybieraj najniższe uprawnienie wystarczające dla Twojego zastosowania. Do przeglądania danych wystarczy read.

Użycie tokenu

Token przekazujesz w nagłówku X-API-Key:

curl -X GET "https://api.ogarni.ai/api/weekly-summaries/latest" \
  -H "X-API-Key: oai_twoj_token"

Bezpieczeństwo

Przechowywanie

• Zapisuj tokeny jako zmienne środowiskowe, nigdy w kodzie źródłowym
• Używaj menedżera sekretów (np. AWS Secrets Manager, 1Password CLI)
• Nigdy nie commituj tokenów do repozytorium

# Zmienna środowiskowa
export OGARNIAI_API_TOKEN="oai_twoj_token"

# Użycie w skrypcie
curl -H "X-API-Key: $OGARNIAI_API_TOKEN" ...

Rotacja tokenów

Zalecamy rotację tokenów co 90 dni:

1. Utwórz nowy token z tymi samymi uprawnieniami
2. Zaktualizuj konfigurację aplikacji / zmienne środowiskowe
3. Sprawdź, czy wszystko działa z nowym tokenem
4. Usuń stary token

Dobre praktyki

1. Używaj uprawnienia read — chyba że naprawdę potrzebujesz zapisu
2. Jeden token na integrację — łatwiej zarządzać i odwoływać
3. Nie loguj tokenów — unikaj wypisywania pełnej wartości tokenu w logach
4. Monitoruj użycie — sprawdzaj nagłówki rate limit w odpowiedziach
5. Używaj HTTPS — wszystkie endpointy API wymagają połączenia szyfrowanego