Todennus

PalkkaOnlinen kumppanirajapinta tunnistaa jokaisen pyynnön kolmella header-kentällä: Api-Key, Api-Secret ja Api-Identifier. Ilman näitä pyyntö hylätään koodilla 401.

Kaikki kumppanirajapinnan kutsut menevät polun /api/v1/partner/... alla. Tunnukset on sidottu yhteen asiakkuuteen — kumppani näkee ja muokkaa vain oman asiakkuutensa käyttäjiä ja laskuja.

Pakolliset header-kentät

  • Name
    Api-Key
    Type
    string
    Description

    Kumppanin avain. PalkkaOnline luo tämän kun rajapintaoikeudet myönnetään.

  • Name
    Api-Secret
    Type
    string
    Description

    Avaimeen liittyvä salaisuus. Käsittele kuten salasanaa: vain backend-ympäristössä, ei selaimessa.

  • Name
    Api-Identifier
    Type
    string
    Description

    Lyhyt tunniste, joka sitoo pyynnön kumppanin asiakkuuteen. Tarkistetaan jokaisella pyynnöllä avain/salaisuus-parin lisäksi.

  • Name
    Accept
    Type
    string
    Description

    Aseta application/json. Ilman tätä todennusvirhe palautuu HTML-redirectinä /login-sivulle JSON-virheen sijasta.

HTTP-header-nimissä tulee olla väliviivat (Api-Key), eivät alaviivat (api_key). Nginx pudottaa alaviivalliset headerit oletuksena, eli api_key ei pääse koskaan PHP:lle asti.

Esimerkki kutsusta

Todennettu pyyntö

curl --location 'https://uusi.palkkaonline.fi/api/v1/partner/users' \
  --header 'Accept: application/json' \
  --header 'Api-Key: {api-key}' \
  --header 'Api-Secret: {api-secret}' \
  --header 'Api-Identifier: {api-identifier}'

Mahdolliset todennusvirheet

HTTPTilanne
401Yksi tai useampi Api-*-header puuttuu, avain/salaisuus on väärin, tai Api-Identifier ei vastaa avainparia.
302 → /loginPyyntö meni eri reitille kuin /api/v1/partner/... (esim. juuri / tai /login). Tarkista URL.

Jos saat 302-redirectin /login-sivulle, vika on lähes aina joko väärä URL-polku (puuttuu /partner/-osa) tai header-nimissä on alaviivat väliviivojen sijaan.