API tokeny

API tokeny

API tokeny vytváříte na stránce API tokeny v panelu (https://panel.cloudweb.sk/api-tokens). Token se hned po vytvoření zobrazí v plném tvaru přesně jednou – při dalším otevření stránky už ho znovu neukážeme, je třeba si ho uložit na místě, které kontrolujete vy sami.

Oprávnění (scopes)

Při vytváření tokenu vybíráte jedno nebo více z těchto oprávnění:

• hostings:read – zobrazení hostingů
• domains:read – zobrazení domén
• invoices:read – zobrazení faktur
• dns:read – zobrazení DNS záznamů
• dns:write – vytváření a úprava DNS záznamů
• dns:delete – mazání DNS záznamů
• dns:acme – pouze přidání/odebrání _acme-challenge TXT záznamu (certifikáty přes DNS-01)

Oprávnění dns:write nezahrnuje dns:acme a naopak – jde o samostatná, úzce vymezená práva. Token, který má běžet na cizím serveru (např. k vydávání certifikátů), by tedy měl dostat jen dns:acme, aby jeho případný únik neumožnil útočníkovi přepsat běžné A/MX záznamy.

Token lze také omezit na konkrétní domény ze seznamu těch, které máte ve správě DNS – omezení platí pro REST správu DNS i pro ACME endpoint. Přehled jednotlivých typů DNS záznamů, které takto můžete spravovat, najdete v článku DNS záznamy: co jsou a jak fungují.

Platnost, limity

Při vytváření zvolíte platnost ve dnech (1 až 365), nebo token necháte bez expirace. Na účtu můžete mít najednou maximálně 10 tokenů – po dosažení limitu je třeba nejdřív nějaký smazat. Jednotlivý token má limit 60 požadavků za minutu.

Návod v panelu

Stránka API tokenů obsahuje i návod k použití přímo v panelu – základní URL adresu API, formát hlavičky Authorization a seznam dostupných endpointů podle zvolených oprávnění. Tento návod je součástí přihlášeného panelu, není veřejně dostupný bez přihlášení.

DNS-01 výzva pro wildcard certifikáty

Pokud potřebujete vydat wildcard certifikát (*.example.sk) mimo Cloudweb – například přes Traefik, lego, acme.sh nebo certbot – wildcard lze ověřit jen přes DNS-01 výzvu, tedy zápisem _acme-challenge TXT záznamu. K tomu slouží dva veřejné endpointy:

• POST https://cloudweb.sk/api/v1/acme/present
• POST https://cloudweb.sk/api/v1/acme/cleanup

Ověření probíhá buď hlavičkou Authorization: Bearer <token>, nebo HTTP Basic autentizací, kde heslem je token (jméno se ignoruje) – vhodné pro nástroje, které umí jen Basic autentizaci. Vyžaduje se oprávnění dns:acme. Kontrakt odpovídá lego provideru httpreq i provideru acme.sh dns_acmeproxy, takže není potřeba žádný speciální plugin – stačí nastavit endpoint a token jako jméno/heslo.