Ключи API

Каждый запрос к API отправляется с ключом из кабинета. Ключ определяет аккаунт, тариф и лимит запросов в секунду.

Как передать ключ#

В заголовке Authorization по схеме Bearer — так ожидают большинство HTTP-клиентов:

http

Authorization: Bearer pdf_live_xK9pQ2mRt7vN...

Если ваш клиент не умеет задавать Authorization, подойдёт другой заголовок:

http

X-API-Key: pdf_live_xK9pQ2mRt7vN...

Без ключа API отвечает кодом 401 с ошибкой missing_api_key, с неверным или отозванным — 401 с invalid_api_key.

Храните ключ на сервере#

Ключ — это доступ к генерации PDF на вашем аккаунте. Держите его в переменной окружения или в хранилище секретов, а не в коде и не в репозитории:

bash

export PDFAPI_KEY=pdf_live_...

Не вызывайте API из браузера

Ключ в коде страницы или мобильного приложения увидит любой, кто откроет инструменты разработчика. Вызывайте pdfapi со своего сервера, а браузеру отдавайте готовый PDF — см. PDF в веб-приложении.

Полный ключ показывается один раз#

При выпуске ключ показывается целиком — скопируйте его. У себя мы храним только SHA-256-хеш: восстановить ключ невозможно даже нам. Потеряли — выпустите новый и не забудьте отозвать старый.

Отдельный ключ на окружение#

Выпустите свой ключ для продакшена, стейджинга и локальной разработки:

лимит частоты считается на ключ — шумные тесты не отнимают скорость у продакшена;
утёкший ключ можно отозвать, не затрагивая остальные, — они продолжат штатно работать;
в журналах видно, какое окружение тратит страницы.

Сколько ключей можно держать одновременно, зависит от тарифа: на Free — один, на Premium — до 20, на Business — до 100.

Отзыв ключа#

Отзовите ключ в кабинете — он перестаёт работать сразу, следующий запрос с ним вернёт 401 invalid_api_key. Если ключ мог утечь, сначала выпустите новый и поменяйте его в окружении, затем отзовите старый — так сервис не будет простаивать.