AppsMax проверил публичный API на полном цикле заявки

Публичный REST API AppsMax v1 прошёл полный проверочный маршрут на production: временная организация и бот были созданы только для теста, а после завершения проверки все синтетические объекты удалены.

В проверочный набор вошли:

• отказ при неверном токене с ответом 401;
• успешное получение сведений о текущем доступе через GET /me;
• изоляция ботов в пределах своей организации;
• отказ 403, если токену не хватает нужного права;
• ответ 422 на некорректные данные;
• создание заявки с ответом 201;
• переход от обычного ответа к 429 при достижении ограничения частоты;
• отказ 401 после отзыва токена.

Проверка подтвердила не только доступность методов, но и границы доступа. Токен не должен видеть объекты другой организации, отсутствие нужного scope нельзя исправлять скрытым расширением прав, а отозванный токен должен переставать работать сразу.

«Для интегратора важнее воспроизводимое поведение API, чем длинный список логотипов. Поэтому мы отдельно проверили успешный путь, ошибки, ограничение частоты и отзыв доступа на одном изолированном маршруте», — пояснил Егор Айнюков, ведущий разработчик и технический архитектор AppsMax.

Текущая публичная спецификация AppsMax описывает 21 метод и 12 областей доступа. Базовое ограничение составляет 60 запросов в минуту на токен. API предназначен для server-to-server интеграций с заявками, ботами, мини-приложениями и другими объектами рабочего контура.

Проверка не затрагивала данные клиентов и не использовалась для измерения продаж или производительности клиентских проектов. Её задача — подтвердить, что опубликованный контракт одинаково предсказуем на успешном и ошибочном пути.