Anmeldung

Jede Anfrage trägt deinen API-Schlüssel als Bearer-Token im Header Authorization.

curl https://gateway.shirtee.cloud/api/orders \
  -H "Authorization: Bearer $SHIRTEE_API_KEY"

Setze das Token aus deinem Secret-Management in die Umgebungsvariable und schreibe es nie fest in den Befehl oder das Skript.

Die Spec ist öffentlich

Die OpenAPI-Spec brauchst du ohne Schlüssel:

curl https://gateway.shirtee.cloud/public/merchant-api/openapi.json

Sie enthält genau die Operationen, die ein Händler-Schlüssel erreicht, und nennt je Operation in x-customer-scopes die Berechtigungen, von denen dein Schlüssel mindestens eine tragen muss. Alle anderen Schnittstellen lehnt ein Händler-Schlüssel mit 403 ab.

401, 403 und 404 unterscheiden

Status	Meldung (detail)	Bedeutung	Was du tust
401	Authentication required	Der Header fehlt oder das Token ist ungültig oder abgelaufen. Die Meldung ist in allen drei Fällen gleich.	Header und Token prüfen, Ablaufdatum im Portal ansehen, bei Bedarf neuen Schlüssel anlegen
403	No permission to access this resource	Der Schlüssel ist gültig, aber keine seiner wirksamen Berechtigungen passt zum Endpunkt, oder der Endpunkt steht Händler-Schlüsseln nicht offen.	Entscheidungsbaum unter Scopes und Freischaltung
403	Scoped API key revoked	Der Schlüssel wurde widerrufen.	Neuen Schlüssel anlegen
404	Not Found o. ä.	Die Ressource gibt es nicht oder sie gehört einem anderen Konto.	ID prüfen

Fremde Ressourcen liefern bewusst 404 statt 403. So verrät die API nicht, ob eine fremde Bestellung existiert.

Fehlerformat

Alle Fehler haben dieselbe Form, siehe Fehler.