Интеграция Server-to-Server (REST API)

API позволяет одобрять контракты напрямую с вашего Backend и безопасно передавать согласия в систему HashEntry.

Аутентификация

API-запросы должны содержать HTTP-заголовок X-API-Key с уникальным ключом API сайта из панели управления HashEntry.

Подпись запросов HMAC

Все POST-запросы должны быть подписаны с помощью HMAC-SHA256 для обеспечения целостности запросов и защиты от повторных атак. JS SDK делает это автоматически; при серверной интеграции подпись необходимо реализовать вручную.

Обязательные заголовки

Заголовок	Описание
X-API-Key	Ваш ключ API сайта
X-Signature	HMAC-SHA256 подпись канонического запроса
X-Timestamp	Временная метка Unix (секунды) — должна быть в пределах ±300с от серверного времени
X-Nonce	Уникальный UUID на каждый запрос — предотвращает повторные атаки

Алгоритм подписи

1. timestamp = текущая временная метка Unix (секунды)
2. nonce = случайный UUID
3. bodyHash = SHA-256(тело запроса в формате JSON)
4. canonical = "{METHOD}\n{PATH}\n{timestamp}\n{nonce}\n{bodyHash}"
5. signature = HMAC-SHA256(canonical, apiKey)

Аутентификация S2S (Server-to-Server)

Для автоматизированных серверных интеграций используйте S2S Auth — комбинацию аутентификации по ключу API с JWT Bearer-токенами.

Как это работает

1. Создайте участника с ролью api_user через панель HashEntry (Настройки → Команда → Пригласить)
2. API-пользователь входит через POST /api/v1/auth/login для получения JWT-токена
3. Используйте оба заголовка в S2S-запросах:

X-API-Key: he_live_xxx
Authorization: Bearer {jwt_token}

Конечные точки S2S

Метод	Endpoint	Описание
POST	/tool/v1/s2s/consents	Запись единичного согласия
POST	/tool/v1/s2s/consents/batch	Запись пакетных согласий
GET	/tool/v1/s2s/consents/export	Экспорт записей согласий

Примечание: Роль api_user ограничена только доступом к S2S API — вход в панель управления невозможен.

Запись согласия

Endpoint: POST https://system.hashentry.com/tool/v1/consents

Обязательные заголовки:

Content-Type: application/json
X-API-Key: ВАШ_СЕКРЕТНЫЙ_КЛЮЧ_API
X-Signature: {hmac_подпись}
X-Timestamp: {unix_метка}
X-Nonce: {уникальный_uuid}

JSON Payload

{
  "consent_type": "cookie_consent",
  "decision": "accept",
  "document_version_id": "privacy-policy-uuid"
}