API Anahtarı Alma

Panelden API anahtarı oluşturma, iki anahtar türü ve güvenli saklama.

API anahtarları organizasyona aittir. Anahtar oluşturabilmek için önce bir organizasyon kurmuş olmanız gerekir.

1. Hesap açın ve organizasyonunuzu kurun#

panel.globaltrust.id adresinden kayıt olun.
E-postanıza gelen doğrulama bağlantısına tıklayın.
İlk girişte açılan sihirbazda organizasyonunuzu oluşturun.

2. Anahtarı oluşturun#

Panelde API Keys bölümüne gidin ve Yeni anahtar deyin. Bir ad (örneğin Production backend) ve bir ortam seçmeniz istenir.

Kaydettiğinizde iki anahtar birden üretilir:

Anahtar	Örnek	Nerede yaşar	Ne yapabilir
Publishable	`pk_live_a1b2c3…`	Tarayıcıda, JS SDK içinde	Yalnızca doğrulama oturumu açar
Secret	`sk_live_a1b2c3…`	Yalnızca sizin sunucunuzda	Sonuç okur, kaynak yönetir

Anahtarın biçimi {tür}_{ortam}_{rastgele} şeklindedir: sk_test_… bir test ortamı gizli anahtarıdır.

3. Anahtarı tarayıcıda deneyin#

Kod yazmadan önce anahtarın çalıştığını görebilirsiniz: globaltrust.id/demo

Açılan sayfada iki sekme var:

Sekme	Ne yapar
KYC Doğrulama	Bir doğrulama oturumu açar, QR üretir, siz telefondan okuttukça sonucu canlı gösterir.
GlobalTrustID ile Giriş	OAuth akışını baştan sona çalıştırır; uygulama kaydetmenize gerek yok.

Paylaşmak istediğiniz alanları kutucuklardan seçip publishable anahtarınızı yapıştırmanız yeterli.

Önce pk_test_… ile deneyin: test ortamındaki oturumlar faturalandırılmaz.

4. Anahtarı kullanın#

Anahtarı Authorization başlığında Bearer şemasıyla gönderin:

Terminal

curl -X POST https://api.globaltrust.id/v1/verification/session \
  -H "Authorization: Bearer sk_live_a1b2c3..." \
  -H "Content-Type: application/json" \
  -d '{"scope":["identity.first_name","identity.last_name"]}'

İki anahtarın neden ayrı olduğu#

Bu ayrım bir kolaylık değil, güvenlik sınırıdır ve sunucu tarafında zorunlu tutulur.

Publishable anahtar tarayıcıya iner; oradaki her şey görülebilir kabul edilir. Bu yüzden pk_ yalnızca oturum açabilir. Sızması hâlinde birinin yapabileceği tek şey adınıza oturum başlatmaktır — sonuç okuyamaz, ayar değiştiremez.

Secret anahtar sonucu okur. Bu yüzden asla tarayıcıya, mobil uygulama paketine, herkese açık bir depoya veya istemci tarafı koda konmamalıdır.

Gizli anahtar isteyen bir uca publishable anahtarla gittiğinizde ayrı bir hata alırsınız; bu, yanlışlıkla pk_ gönderdiğinizi anlamanız içindir.

Ortamlar#

test ve live ortamları birbirinden tamamen ayrıdır. Test ortamındaki oturumlar kontör harcamaz.

Entegrasyonu test ile geliştirin, canlıya alırken anahtarı live ile değiştirin. Kod değişikliği gerekmez; yalnızca anahtar değişir.

Test anahtarı nerede kullanılabilir#

Test anahtarları geliştirme ortamı içindir: localhost, 127.0.0.1, özel ağ adresleri (192.168.*, 10.*) ve .local / .test gibi adlar.

Bir test anahtarı herkese açık bir alan adından kullanıldığında sistem bunu fark eder ve kurulumunuza göre iki şey olabilir:

İşaretlenir — oturum açılır, ancak kaydınıza not düşülür.
Reddedilir — oturum hiç açılmaz; canlı anahtara geçmeniz beklenir.

Kontrol edilen sinyaller: isteğin Origin başlığı, verdiğiniz webhook_url ve isteğin geldiği IP adresi. Üçünden biri yeterlidir — yani isteği localhost'tan atıp webhook_url olarak üretim sunucunuzu vermek de sayılır.

Test verisi maskelenebilir#

Kurulumunuza göre test oturumlarının döndürdüğü değerler maskelenmiş gelebilir: ad Os*** Gü***, doğum tarihi 1985-**-**, kimlik numarası tümden yıldızlı, e-postada alan adı korunur (os***@ornek.com).

Alan adları ve biçimleri korunur, yani ayrıştırıcınızı bu hâlde de test edebilirsiniz. Gerçek değer görmeniz gerekiyorsa canlı anahtarla çalışın.

Anahtarı kaybettim / sızdı#

Panelden yeni bir anahtar oluşturun.
Sunucunuzu yeni anahtarla güncelleyin.
Eski anahtarı panelden iptal edin.

Bu sırayla yaparsanız kesinti yaşamazsınız.

Saklama önerileri#

Anahtarı ortam değişkeninde tutun, koda gömmeyin.
Sürüm kontrolüne (git) eklemeyin; .env dosyanızı .gitignore'a alın.
Farklı sunucular için farklı anahtarlar üretin — biri sızdığında yalnızca onu iptal edersiniz.