API-токены

API-токены дают программный доступ к API (CI/CD, мониторинг, интеграции) без входа по логину. У токена настраиваемые права (скоупы) и опциональная привязка к одному домену, поэтому утечка ограничена тем, что вы явно разрешили.

Что доступно токенам, а что нет

Токен никогда не получает доступ к:

безопасности аккаунта (смена пароля/почты, OAuth);
управлению самими токенами (нельзя выпустить или отозвать токен, имея только токен);
операциям записи в биллинг (платежи, пополнения, смена тарифа, плательщики).

Это сделано намеренно: токен сужает доступ владельца и не может повысить свои привилегии.

Права (скоупы)

Скоуп — это область:уровень. Запись включает чтение.

Область	Уровни	Что открывает
Домены	чтение / запись	список и управление доменами, делегирование
DNS	чтение / запись	DNS-записи домена
Проксирование	чтение / запись	проксирование и edge-конфигурация хостов
Сайты	чтение / запись	статические сайты (загрузка, публикация)
Поддержка	чтение / запись	тикеты поддержки
Аналитика	чтение	статистика домена
Биллинг	чтение	счета и потребление (без операций оплаты)

Привязка к домену

При создании токена можно выбрать один домен — тогда токен работает только с его ресурсами (DNS, проксирование, статика, аналитика, чтение биллинга этого домена). Запросы к другим доменам отклоняются. «Все домены» снимает ограничение в рамках выбранных скоупов. Поддержка не привязана к домену.

Создание и отзыв

Откройте Настройки → API-токены.
Задайте название, выберите права, при необходимости домен и срок действия (пусто — бессрочный).
Нажмите Создать токен. Полный токен (wsk_…) показывается один раз — сразу сохраните его.
Отозвать токен можно кнопкой в списке; после отзыва он немедленно перестаёт действовать.

Использование

Токен передаётся в заголовке Authorization: Bearer wsk_…:

# Список доменов (нужен скоуп «Домены: чтение»)
curl -H "Authorization: Bearer $WSP_API_TOKEN" https://webshield.pro/api/v1/domains

# Обновление DNS-записей домена (нужен скоуп «DNS: запись»)
curl -X POST https://webshield.pro/api/v1/domains/123/records \
  -H "Authorization: Bearer $WSP_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{ ... }'

Если у токена нет нужного скоупа или он привязан к другому домену — ответ будет 403; недействительный или истёкший токен — 401.