Berechtigung aus einem Backend

Manche Fragen kommen vor einer Anmeldung oder ganz ohne sie: ein Buchungsformular nur für Mitglieder, ein Vorteil, den jemand telefonisch beantragt, eine Prüfung, bevor ein Konto entsteht. Dafür fragt Ihr Backend das Studio, ob ein Antragsteller ein berechtigtes Mitglied ist, anhand der Mitgliedsnummer und der Angaben, die der Antragsteller eingegeben hat. Der Antragsteller muss weder angemeldet noch überhaupt ein Frontend-Benutzer sein.

Der Aufruf

POST <studio>/api/v1/members/eligibility
Authorization: Bearer ofk_<Präfix>_<Geheimnis>
X-Applicant-IP: 203.0.113.7
Content-Type: application/json

{
  "memberCode": "108900",
  "firstName": "Jürgen",
  "lastName": "Weiß",
  "birthDate": "1962-07-07"
}

• Der Inhalt sind die Mitgliedsnummer, wie der Antragsteller sie eingegeben hat, sein Vor- und Nachname und sein Geburtsdatum (JJJJ-MM-TT): JSON, höchstens 4 KB. Andere Felder werden ignoriert.
• X-Applicant-IP ist die IP-Adresse des Antragstellers, dessen Angaben Sie weitergeben, eine IPv4- oder IPv6-Adresse. Sie ist Pflicht, weil die Ratenlimits fehlgeschlagene Prüfungen pro Netz des Antragstellers zählen. Sie hat einen eigenen Header, weil ein Proxy vor dem Studio X-Forwarded-For mit der Adresse Ihres Backends überschreiben kann.
• Kein Prüfcode. Die Berechtigungsprüfung fragt nie danach, und ein Prüfcode im Inhalt wird ignoriert.

Die Antwort

{ "status": "valid" }

Die Antwort ist nur der Status. Bei Pannoniqa erhält eine Pensionistin, die über die Pannoniqa App (Community „Aktive Belegschaft“) fragt, not_valid, und dieselbe Anfrage über das Pannoniqa Portal (Community „Gesamte Belegschaft“) ergibt valid.

Was im Studio geschieht

Jeder Aufruf ist eine Mitgliedschaftsprüfung im Prüfmodus Berechtigung. Das Studio geht die Mitgliedschaftsdefinition der Organisation durch, fragt ihre Register (ein externes Register live, bis zu 5 Sekunden lang), vergleicht die Angaben und ordnet das Ergebnis der Community Ihres Frontends zu. Die Prüfung wird mit Ihrem Frontend und der IP-Adresse des Antragstellers im Prüfprotokoll festgehalten; die Angaben werden nie gespeichert. Sonst ändert sich nichts: kein Konto, keine Organisationsmitgliedschaft, keine Frontend-Aktivierung.

Ratenlimits

Fehlgeschlagene Prüfungen sind begrenzt, damit sich mit dem Endpunkt keine Mitgliedsnummern erraten lassen:

• 5 pro Mitgliedsnummer und 20 pro Netz eines Antragstellers (die IPv4-Adresse oder das IPv6-/64) in 15 Minuten;
• 500 pro Frontend in einer Stunde.

Darüber hinaus lautet die Antwort 429 {"error": "rate_limited"}. Was zählt, steht unter Ergebnisse, Ratenlimits und Fehler.

Referenz

Ist ein Antragsteller ein berechtigtes Mitglied?