Xác thực & quyền

#API key

• Định dạng dpk_ + 43 ký tự. Gửi qua Authorization: Bearer dpk_... hoặc X-Api-Key: dpk_....
• Deplao chỉ lưu SHA-256 của key. Mất key → thu hồi và tạo key mới.
• Mỗi key có: scope, tài khoản được phép (bỏ trống = tất cả), IP được phép (IP hoặc CIDR, tuỳ chọn), hạn dùng (tuỳ chọn), giới hạn tốc độ (mặc định 0 = không giới hạn, bạn tự đặt nếu muốn), vai trò ERP (mặc định manager).

#Scope

Xem danh sách đầy đủ ở GET /api/v1/scopes. Thiếu scope → 403 FORBIDDEN_SCOPE. admin = mọi scope.

#Tài khoản được phép

Key bị giới hạn tài khoản sẽ nhận 403 FORBIDDEN_ACCOUNT khi gọi tài khoản khác; danh sách GET /accounts chỉ trả tài khoản được phép; event và webhook cũng được lọc theo tài khoản.

#Nhân viên

Token đăng nhập của nhân viên (employee mode) cũng gọi được API v1. Quyền module của nhân viên được quy đổi thành scope (chat → chat:read/send/manage, crm → crm:*, ...), tài khoản = tài khoản được giao. Nhân viên không bị giới hạn tốc độ.

#ERP

Các route ERP chạy qua cùng kiểm tra quyền ERP của app. Key dùng vai trò ERP đã đặt (owner/admin/manager/member/guest); thiếu quyền → 403 FORBIDDEN_ERP.

#Chống dò key

Khi bật "Chống dò key" (mặc định bật), một IP gửi từ 20 key sai trong 1 phút bị tạm chặn 10 phút (429 AUTH_BLOCKED). Request có key hợp lệ không bị ảnh hưởng.