SDK in abbonamento
OAuth per utente · limiti del piano condivisi tra le app · modello gestito da Pura.
Cerchi le API a consumo?Sicurezza e dati
Confini di fiducia, isolamento utenti e residenza del provider.
Responsabilità dei due sistemi
Pura verifica le autorizzazioni del collegamento e applica i limiti dell’account. La tua applicazione deve proteggere sessioni locali, client secret, token OAuth e signing secret; ogni richiesta deve usare il collegamento dell’utente autenticato.
Browser e backend
Per un SaaS confidential conserva i token sul backend e usa una sessione applicativa protetta verso il browser. Non inserire client secret in bundle, variabili NEXT_PUBLIC, HTML o localStorage. I client pubblici non hanno un secret: la loro strategia di storage deve considerare XSS e la durata dei token.
Residenza e prove
Prima di integrare dati soggetti a vincoli geografici, consulta Residenza dati UE e le condizioni applicabili al servizio. Non dedurre il luogo di trattamento dal dominio dell’API o dall’indirizzo del callback.
Conservazione e log
Consulta Conservazione dei dati per il trattamento dei contenuti e dei metadati di utilizzo. Nella tua applicazione limita i log ai dati necessari per la diagnosi ed evita di registrare prompt, file o credenziali OAuth.
Ricevitore webhook
Verifica la firma prima del parsing e associa app e utente a mapping preesistenti. Rifiuta versioni non supportate e campi di credenziali anche se firmati. L’SDK applica queste verifiche; il tuo store applica atomica, ordine e isolamento delle associazioni.