Comparația cu standardele
Unde stă platforma față de documentațiile și standardele de referință: Claude, Webflow, Framer, Standard Webhooks, OWASP, RFC 9457 și OAuth 2.1.
De ce comparăm
Clienții care vin din alte platforme se așteaptă la aceleași reguli: limite anunțate în antete, erori într-un format standard, webhook-uri semnate, chei API separate de parola omului. Tabelele de mai jos arată ce avem deja și ce lipsește. Ce lipsește intră în Foaia de parcurs.
Sursele au fost citite pe 11.11.2026. Starea platformei este cea de pe 12.11.2026; ce s-a adăugat în noiembrie este marcat cu data.
Platformele de referință
| Subiect | Claude | Webflow | Framer | Ilustromania |
|---|---|---|---|---|
| Autentificare pentru API | cheie API pe organizație | jeton de site sau OAuth | cheie API pe proiect (beta) | sesiune; cheie API pe firmă, cu rol și expirare (din 12.11.2026, deocamdată doar pentru citirea stocului); jeton mcp_ pentru MCP |
| Mai multe organizații | spații de lucru în organizație | site-uri în spațiu de lucru | proiecte | firme, cu izolare în baza de date (RLS) |
| Limite anunțate în antete | da | da (X-RateLimit-*) | — | da, pe scrieri: RateLimit și RateLimit-Policy (din 11.11.2026) |
| Webhook-uri semnate | da, pe organizație | da, cu semnătură și marcă de timp | — | da, pe firmă, după Standard Webhooks (din 12.11.2026, Webhook-uri); plus flux în timp real (SSE) |
| Format de eroare | obiect error cu type | obiect cu cod și mesaj | — | câmpul eroare; la cerere RFC 9457, cu cod canonic (din 11.11.2026) |
| Specificație OpenAPI publică | da | da | — | da, dar doar pentru admin și parțială |
| Versiunea în adresă | antet de versiune | /v2 | — | /v1, cu regula de versiuni scrisă |
| Server MCP | — | da | — | da, cu OAuth 2.1 |
Pentru casa de marcat DLS nu există documentație publică: integrarea se face prin agenți pe server, descrisă în Sisteme externe.
Standardele
| Standard | Ce cere | Starea la noi |
|---|---|---|
| OWASP API Security Top 10 | autorizare pe fiecare obiect, autentificare solidă, limite, inventarul rutelor | autorizare pe firmă prin RLS, acces declarat pe fiecare rută (refuz implicit), limite pe scrieri, inventar generat din cod |
| OAuth 2.1 | PKCE obligatoriu, fără grant implicit, jetoane de reîmprospătare rotite | respectat: doar S256, rotație la fiecare folosire |
| RFC 9457 | erori application/problem+json cu type, title, status, detail | există din 11.11.2026, la cerere (Accept: application/problem+json): type, title, status, plus cod și id_cerere; fără detail. Fără antet rămâne { "eroare": … } (Erori) |
| Standard Webhooks | antete webhook-id, webhook-timestamp, webhook-signature, HMAC-SHA256, reîncercări | există din 12.11.2026: antetele și semnătura v1 exact după specificație, secret whsec_, 10 încercări cu pauze crescătoare, două semnături 24 de ore după rotire, 410 oprește destinația (Webhook-uri) |
| IETF RateLimit headers | antetele RateLimit și RateLimit-Policy | există din 11.11.2026, după draft 11, pe scrieri; citirile au doar 429 și Retry-After (Limite) |
Chei de idempotență (Idempotency-Key) | o scriere repetată nu se aplică de două ori | există din 11.11.2026, pe 9 rute care creează documente; cheia se ține 24 de ore (Cereri repetate fără dubluri) |
| Identificator de cerere | fiecare răspuns are un id care se regăsește în jurnale | există din 11.11.2026: x-request-id pe fiecare răspuns, același în jurnalul serverului |
Ce facem deja peste medie
- Refuz implicit: o rută fără acces declarat răspunde
401 ruta_nedeclarataînainte să ruleze. - Izolarea firmelor în baza de date, nu doar în cod: chiar o greșeală în aplicație nu poate citi altă firmă.
- Regula 503: o sursă externă lipsă nu se ascunde niciodată sub o listă goală.
- Parolele: scrypt cu sare, verificare față de parolele comune și față de ultimele 5 ale contului.
- Jurnale curate: cookie-urile, antetele de autorizare și câmpurile secrete se înlocuiesc cu
[ascuns].
Începe de aici
A fost utilă pagina?Mulțumim pentru răspuns.