Безопасно ли давать API-ключ Ozon сервису аналитики: разбираю по пунктам

Человек регистрируется в сервисе аналитики, доходит до формы «введите Client-Id и Api-Key» — и закрывает вкладку. Я вижу это по своим же цифрам: до формы доходят, ключи не вводят. И я этих людей понимаю: кабинет Ozon — это деньги, товар, цены и поставки, а сайт незнакомый, и что он с этим ключом сделает, непонятно.

Дальше — не уговоры, а разбор. Что такое этот ключ, что он позволяет и, главное, чего он не позволяет. Почти всё написанное можно проверить самому, не веря мне на слово: Ozon показывает роль ключа прямо в кабинете, а отозвать его можно в любую секунду.

Что такое Client-Id и Api-Key

Это пара значений, по которым Ozon узнаёт программу, обратившуюся к нему вместо человека. Client-Id — номер вашего кабинета, он не секретный. Api-Key — длинная строка, которую Ozon выдаёт один раз и больше никогда не показывает; вот она секретная.

Важное отличие от пароля: у ключа есть роль, и роль ограничивает его физически, а не по обещанию. Пароль от кабинета даёт всё. Ключ даёт ровно то, что записано в его роли, и обойти это со стороны программы нельзя — ограничение стоит на серверах Ozon, а не в совести того, кому вы ключ отдали.

Роль «Admin read only»: что она отрезает

Это та самая галочка, которую я прошу поставить. Ключ с такой ролью может только запрашивать данные. Он не может изменить цену, не может остановить или запустить товар в продажу, не может отредактировать карточку, не может собрать или отменить отправление, не может создать поставку, не может запустить или остановить рекламную кампанию, не может вывести деньги — вывод вообще не делается через API продавца.

Сформулирую иначе, потому что это главная мысль всей статьи. Даже если такой ключ утечёт целиком — попадёт к кому угодно, — им нельзя ничего сделать с вашим магазином. Им можно только посмотреть ваши цифры. Это неприятно, но это не потеря денег, не потеря товара и не потеря управления кабинетом.

Проверить роль можно в любой момент: Настройки → API интеграции → Seller API, в списке ключей у каждого написана его роль. Если там стоит что-то шире «Admin read only» — удалите ключ и выпустите новый с одной галочкой. Это займёт минуту и ничего не сломает.

Что SellOps делает вашим ключом на самом деле

Не «мы обещаем только читать», а конкретный список. Сервис обращается к пятнадцати адресам Ozon API, и все пятнадцать — чтение: список товаров и их характеристики, цены и текущие ставки комиссии, остатки по складам, заказы FBO и FBS, финансовые операции, отчёт о реализации, возвраты, заявки на поставку, список складских кластеров, рейтинг контента карточки. Ни одного адреса, который что-либо создаёт, меняет или удаляет, в коде нет.

Одна деталь смущает тех, кто разбирается в технике: запросы к Ozon отправляются методом POST, а POST принято считать «изменяющим». В API Ozon это не так — там почти все запросы, включая чисто читающие, устроены как POST, потому что фильтры передаются телом запроса. Метод здесь ничего не говорит о том, меняются ли данные; об этом говорит адрес и роль ключа.

Как ключ хранится

После сохранения ключ шифруется алгоритмом AES-256-GCM и лежит в базе только в зашифрованном виде. Ключ шифрования хранится не в базе, а в переменных окружения сервера — то есть сама по себе копия базы не даёт ничего: без второй половины расшифровать её нечем.

• В браузер ключ не отдаётся никогда — страница настроек магазина его просто не запрашивает, там доступны только название, Client-Id и признак «реклама подключена».
• В интерфейсе он не показывается и вам: увидеть сохранённый ключ нельзя, можно только заменить его новым. Это неудобно ровно один раз и защищает от подглядывания через плечо и от случайного скриншота.
• Сам Ozon показывает ключ единственный раз, в момент создания. Даже если он потеряется, это не беда: удаляете старый, выпускаете новый, вставляете в сервис.

Здесь я намеренно не стану писать «увидеть ключ не может вообще никто, включая разработчиков». Так говорить нечестно: у любого сервиса есть люди с доступом и к серверу, и к базе — иначе сервис некому чинить. Честная формулировка другая: слив базы сам по себе ключей не выдаёт, ключ нигде не показывается и не путешествует по сети после сохранения, а главное — даже полностью раскрытый читающий ключ ничего вам не стоит. Именно на это стоит опираться, а не на обещание «мы хорошие».

Как забрать доступ обратно

Отзыв не требует ничьего согласия и не требует писать в поддержку. В кабинете Ozon: Настройки → API интеграции → Seller API, удалить ключ. С этой секунды сервис перестаёт получать ваши данные — не через сутки и не после обработки заявки, а сразу, потому что проверку делает Ozon.

Со стороны сервиса то же самое: в разделе «Магазины» удаляете магазин, и запись с зашифрованным ключом удаляется вместе с ним, а следом — загруженные по нему товары, заказы и вся статистика. Если хотите убрать аккаунт целиком, для этого есть отдельная страница удаления.

Как проверить всё это за один вечер

Порядок, который я советую недоверчивому человеку — то есть нормальному. Выпустите ключ с ролью «Admin read only» и подключите магазин. Посмотрите, что показывает сервис на ваших данных: сходятся ли выручка и выплаты с тем, что вы видите в кабинете Ozon. Если что-то не нравится или просто передумали — удалите ключ в кабинете Ozon и магазин в сервисе.

Риск такой проверки — это несколько минут вашего времени и то, что чужой сервис некоторое время видел ваши цифры продаж. Не деньги, не товар, не управление кабинетом. Мне кажется, разница между «страшно отдавать доступ» и «страшно показывать выручку» стоит того, чтобы её проговорить вслух: боятся обычно первого, а рискуют при этом вторым.

Пошаговая инструкция с картинками, где именно в кабинете лежат Client-Id и Api-Key, — в отдельной статье: «Как получить API-ключи Ozon и подключить магазин к аналитике».