ownified Erken erişim
OWNIFIED / GELİŞTİRİCİLER

Doğrulamayı hizmetinize bağlayın.

Entegrasyon kuran dijital hizmetler için OAuth 2.0 ve API üzerinden varlık, rol ve süre bazında doğrulama.

Erken erişim: geliştirici panelinden kuruluşunu ve uygulama taslağını oluşturabilirsin. OAuth uygulamaları ve güvenilen kaynak sağlayıcıları işletmeci tarafından kaydedilir. Sağlayıcı bağlantıları tamamlanmadan gerçek doğrulama üretilemez.

Kuruluşlar için kullanım ve kredi modeli: kayıt anında $5 ücretsiz kredi, kullandıkça tüketilen kredi ve hesapta ortak kimlik doğrulaması.

Neyi doğruluyoruz?

Üç ayrı kanıt birlikte değerlendirilir: Didit tarafından onaylanan kimlik, Spotify veya Apple Music’te ISRC eşleşen çalma listesinde görülen tek kullanımlık cümle ve güvenilen bir kaynak sağlayıcısının imzalı beyanı. İsim benzerliği veya çalma listesi sahipliği tek başına hak doğrulamasına dönüşmez.

written_by, performed_by, produced_by ve label_by farklı katkı rolleridir. Bir rolün doğrulanması diğer rollerin veya tüm kullanım izinlerinin doğrulandığı anlamına gelmez.

Yetki isteği

GET /v1/oauth/authorize
  ?client_id=YOUR_REGISTERED_CLIENT
  &response_type=code
  &redirect_uri=YOUR_REGISTERED_HTTPS_CALLBACK
  &scope=isrc:TRABC2600001:produced_by
  &state=YOUR_RANDOM_STATE
  &code_challenge=BASE64URL_SHA256_VERIFIER
  &code_challenge_method=S256
  &billing_timestamp=UNIX_SECONDS
  &billing_signature=BACKEND_HMAC_SHA256

Dönüş adresi tam eşleşmeli ve HTTPS olmalı. İstemci state değerini kendi oturumunda doğrulamalı. Yetki kodu 60 saniyelik ve tek kullanımlıktır. S256 PKCE zorunludur.

Eser sahibi kaydı ve hizmet bağlantısı

Eser sahipleri yalnızca etkinleştirilmiş bir kuruluşun geçerli OAuth isteğiyle ilk üyeliklerini oluşturur. Kuruluş bilgisi istekten gelir; kullanıcıdan liste seçmesi istenmez. Mevcut üyeler normal giriş ekranını kullanabilir. Kuruluş kaydı $5 ücretsiz kredi verir; entegrasyon kontrolleri tamamlandıktan sonra gerçek kullanıcı akışı etkinleştirilir.

Doğrulama URL’si kuruluşun backend’inde imzalanır. billing_timestamp Unix saniyesidir; billing_signature HMAC-SHA256 sonucunun küçük harfli hex karşılığıdır. İmzalanan JSON alanları: client_id, redirect_uri, scope, state, code_challenge, billing_timestamp. Alan adları alfabetik sıralanır, JSON boşluksuz UTF-8 olarak yazılır ve timestamp sayı olarak tutulur. Kuruluş anahtarı tarayıcıya gönderilmez. İlk yönlendirme 5 dakika içinde kullanılmalıdır; başlayan üyelik akışı aynı tarayıcıda 30 dakika korunur.

Token değişimi

POST /v1/oauth/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=CODE
&client_id=CLIENT&redirect_uri=CALLBACK
&code_verifier=ORIGINAL_VERIFIER

RS256 imzalı erişim tokenının süresi, dayandığı kanıtın süresini aşmaz ve en fazla 24 saattir. Yenileme tokenı ve OIDC ID tokenı verilmez. Kişinin adı ve kimlik belge bilgileri tokena konulmaz.

Doğrulama ve geri çekme

İmzayı JWKS ile; issuer, audience ve süreyi de kendi uygulamanda doğrula. Geri çekilmiş bir kaydı kabul etmemek için işlem anında POST /v1/oauth/introspect çağır. İmza kontrolü tek başına geri çekilmeyi tespit etmez.

OAuth sunucu metadatası · Bağlantı durumu

Kaynak sağlayıcısı entegrasyonu

Yalnızca önceden kaydedilmiş kaynak sağlayıcılarının anahtarları kabul edilir. İmzalı beyan; başvurunun kişi kimliğini, Didit oturumunu, ISRC’sini, rolünü, onaylanan platformu ve çalma listesi kimliğini, Spotify için ayrıca liste sahibinin hesap kimliğini, kanıt referansını ve geçerlilik süresini kapsar. Kullanıcının kendi imzaladığı bir beyan güvenilir kaynak sayılmaz.

{
  "iss": "REGISTERED_RIGHTS_AUTHORITY",
  "aud": "https://ownified.beyondend.dev",
  "sub": "APPLICATION_SUBJECT_ID",
  "kyc_session_id": "BOUND_DIDIT_SESSION",
  "asset_type": "music_recording",
  "asset_id": "TRABC2600001",
  "role": "produced_by",
  "platform": "spotify",
  "playlist_id": "APPROVED_PLAYLIST_ID",
  "platform_owner_id": "APPROVED_SPOTIFY_USER_ID",
  "evidence_ref": "AUTHORITY_EVIDENCE_REFERENCE",
  "jti": "UNIQUE_ATTESTATION_ID",
  "iat": 1792800000,
  "exp": 1792886400
}

Genişlemeye açık model

Varlık türü, tanımlayıcı, rol ve kanıt sağlayıcısı birbirinden ayrıdır. İlk sürüm yalnızca müzik kaydı ve ISRC kabul eder. Görsel, video ve dokümanlar; kendilerine uygun tanımlayıcılar ve kanıt politikaları eklendiğinde açılabilir.

Kaynaklar