Аутентификация
Bearer ald_… для всех GET публичного API.
Аутентификация
Все методы публичного API — GET. Токен передаётся в заголовке:
Authorization: Bearer ald_xxxxxxxx...Пример запроса
GET /v1/tasks?boardId=33333333-3333-4333-8333-333333333333&limit=10 HTTP/1.1
Host: api.aladdinhub.io
Authorization: Bearer ald_demoPrefix_mockSecretExampleOnly
Accept: application/jsoncurl -sS \
-H "Authorization: Bearer ald_demoPrefix_mockSecretExampleOnly" \
-H "Accept: application/json" \
"https://api.aladdinhub.io/v1/tasks?boardId=33333333-3333-4333-8333-333333333333&limit=10"Ответ 200 (фрагмент)
{
"data": [],
"nextCursor": null,
"limit": 10
}Ошибки
{
"statusCode": 401,
"message": "Invalid or expired API token",
"error": "Unauthorized"
}{
"statusCode": 403,
"message": "Client IP is not allowed for this token",
"error": "Forbidden"
}Подробнее: Ошибки, IP whitelist.
Повышенное чтение (elevated_read)
В Управлении → API-токены у токена можно включить повышенное чтение.
elevated_read | Поведение |
|---|---|
false (по умолчанию) | Разделы, доски и задачи как у субъекта токена |
true | Те же GET-маршруты отдают разделы/доски/задачи вне видимости субъекта. ACL в продуктовом UI не меняется |
Неизвестный код раздела или пустой department у доски не подменяются на tech/creative: пустой список и отказ, без перезаписи доски.
Выпуск
Токены: Управление → API-токены (право management_api_tokens).
Секрет показывается один раз при создании/ротации. В БД — только SHA-256.
Формат: ald_ + короткий префикс + секрет.
Субъект
Токен привязан к сотруднику. Видимость задач и досок = то, что видит этот сотрудник в продукте.