Интеграции · REST API · услуга за токени
Вътрешно REST API върху on-premise Bitrix24 с услуга за токени
Клиент:
Финансова компания, NDA
Категория: Интеграции
Стек: PHP 8, Bitrix24 D7, MySQL (отделна база за токени), Bearer токени, bcrypt, Postman
Срок: внедрявано поетапно
Проблем
Към CRM се свързваха кредитната система, контактният център, мобилното приложение, AI бот и HR услуги. Да се раздават на всеки входящи уебхукове на Bitrix24 означаваше широки права без отчет кой какво извиква и без единен формат на отговорите.
Ограничения
On-premise порталът е в продукция с живи интеграции — съществуващите клиенти не бива да се счупят; част от endpoint-ите работят без ядрото на Bitrix; правилата трябва да са разбираеми за другите екипи без срещи.
Какво направих
- Услуга за токени: Bearer и refresh в отделна база, паролите на екипите в bcrypt, админ панел за издаване и деактивиране на токени
- 25 endpoint-а по домейни: контакти по ИИН и телефон, сделки и кредитна система, контактен център, мобилен чат, микробизнес, HR, лийдове от AI бот
- Единен формат за успешни и грешни отговори, регистър на endpoint-ите с маркировка SAFE/DANGEROUS, правила за версиониране и тест план за Postman
- Скенер на endpoint-и за администраторите и дневник на обръщенията към API като част от одитната следа
- Юли 2026: затворено е заобикалянето на токена в 6 endpoint-а — анонимен достъп вече е възможен само с изричен флаг в кода
Архитектура
Външна услуга
→ Проверка на Bearer токена
→ Дневник на обръщенията
→ Endpoint на домейна
→ Bitrix24 CRM
Резултат
Външните екипи получиха документирани endpoint-и със собствени токени вместо уебхукове на портала: вижда се кой се е обръщал и предварително е ясно какво променя всяко извикване.
Какво може да се преизползва
Услуга за Bearer токени с refresh
Единен формат на отговорите на API
Регистър на endpoint-и SAFE/DANGEROUS и скенер