Bezpečnost
Bearer tokeny a oprávnění
REST v1 i MCP používají osobní token v hlavičce každého požadavku. Cookie relace účtu slouží jen ke správě tokenů na webu.
Hlavička Authorization
Authorization: Bearer <OSOBNI_API_TOKEN>Token neposílej v query parametru, URL MCP serveru ani argumentu nástroje. Endpointy nepovolují obecný CORS přístup z webových stránek.
Oprávnění (scopes)
| Scope | Přístup |
|---|---|
catalog:read | Oblasti, sporty, areály, kurty a jejich veřejné informace. |
availability:read | Hledání volných kurtů včetně cen a stáří dat. Vyžaduje také catalog:read. |
favorites:read | Areály uložené v tomhle účtu. Volí se explicitně. |
Token nikdy neopravňuje vytvářet další tokeny, měnit profil, rezervovat, číst přihlašovací údaje k areálům ani spravovat hlídače.
401 a 403
Bez hlavičky přijde prázdná 401 s WWW-Authenticate. Neplatný, expirovaný nebo odvolaný token vrací invalid_token. Platný token bez scope dostane 403 insufficient_scope.
Neopakuj neplatný token
invalid_token neopakuj stejný požadavek ve smyčce. Vyměň nebo obnov token.Rotace a odvolání
Při obnově platí nový token okamžitě. Starý můžeš odvolat hned nebo mu nastavit přechodnou lhůtu: 1 hodinu, 24 hodin, 7 dní. Odvolání se projeví na dalším požadavku.