API Маркета: как проверить права токена для интеграции

Интеграция читает каталог Маркета, но не обновляет цены. Это ещё не повод выдавать ей полное управление кабинетом: сначала сопоставьте конкретные методы обмена с доступами токена.

Порядок ниже предназначен владельцу процесса и специалисту интеграции. Результат проверки: список операций, необходимых прав и подтверждённых ограничений. Сам секрет токена в рабочую таблицу включать не нужно.

Опишите обмен через операции

Начните с того, что приложение действительно должно делать: читать заказы, передавать цены, получать финансовый отчёт или редактировать карточки. Фраза «синхронизировать магазин» слишком широка для выбора прав.

Попросите интегратора указать для каждой операции HTTP-метод и путь запроса. Сохраните также кабинет, магазин и ответственное приложение. Не проверяйте доступ произвольным изменением рабочей цены или заказа.

Это редакционный шаблон проверки, а не названия настроек кабинета.

Сопоставьте методы с группами

В списке доступов API Маркета отдельно предусмотрены, например, управление ценами pricing и просмотр цен pricing:read-only. Аналогичное разделение есть у товаров и карточек. Получение финансовой информации выделено в finance-and-accounting.

Откройте описание каждого используемого метода и проверьте допустимые для него доступы. Не переносите права соседнего метода по похожему названию. Успешное чтение одной сущности не подтверждает возможность изменить другую.

Для просмотра назначенных доступов документация указывает метод POST v2/auth/token. Специалист может сопоставить его результат с подготовленным списком операций. Наличие POST в названии само по себе не означает изменение товара: ориентируйтесь на назначение метода.

Проверьте тип токена и его границы

По документации авторизации, Api-Key привязан к кабинету и распространяется на все магазины этого кабинета. Группы методов ограничивают операции; не считайте их отдельным ограничением на один магазин. OAuth привязан к пользователю, а этот способ авторизации помечен устаревшим.

Если проблема связана с конкретным магазином, отдельно проверьте его идентификатор и принадлежность кабинету. Для этой задачи полезен порядок проверки campaignId в обмене.

Согласуйте изменение и повторную проверку

В инструкции по Api-Key указано, что управлять токенами могут владелец и менеджер кабинета. После редактирования информация обновляется в течение 10 минут. До изменения Маркет рекомендует убедиться, что интеграция продолжит работать.

Передайте ответственному подготовленную матрицу, а не просьбу «включить всё». После согласованного изменения проверьте каждый нужный поток, включая редкие отчёты. Зафиксируйте время, результат и фактический ответ без заголовков с секретами.

Если операция по-прежнему не выполняется, сохраните метод, путь, время, код и текст ошибки. Не меняйте права повторно вслепую: теперь есть конкретный запрос, который можно сравнить с документацией и передать интегратору.