Autentizace

Aplikace vám poskytne Client ID a Secret Key, které potřebujete k vytvoření autentizované OAuth2 relace, kterou můžete použít ke komunikaci s Wink a TripPay API.

Zde jsou kroky k vytvoření autentizované relace.

Krok 1. Získejte přístupový token na stagingu nebo v našem produkčním prostředí:

Pravděpodobně budete pracovat s robustní OAuth2 knihovnou pro váš jazyk, která za vás udělá veškerou těžkou práci. Naše příklady ukážou nejzákladnější použití z příkazové řádky pomocí curl.

Staging

curl -X POST https://staging-iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Produkce

curl -X POST https://iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Toto vrátí přístupový token spolu s dalšími daty odpovědi OAuth2:

{
  "access_token": "abc123"
}

Když voláte jakýkoli z našich koncových bodů, zahrňte do hlavičky následující:

Wink-Version = 2.0 Nejnovější - Podívejte se do naší dokumentace API pro další dostupné verze.
Authorization = Bearer ${access_token} Vložte svůj přístupový token.

Scopes

Scope je oprávnění, které váš přístupový token nese. Když žádáte o token, předáte v parametru scope seznam scope oddělený mezerami a token může přistupovat pouze k oblastem, které tyto scope pokrývají. U grant typu client_credentials nastavujete scope při žádosti o token — viz příklady curl výše a návod Postman.

Scope jsou pojmenovány jako section.action, kde akce je jedna z:

read — prohlížení zdrojů (bezpečné GET požadavky)
write — vytváření a aktualizace zdrojů (POST / PUT / PATCH)
remove — mazání zdrojů (DELETE)

Wink seskupuje oprávnění podle funkčních oblastí. Žádejte pouze scope, které vaše integrace potřebuje:

Skupina scope	Scope	Co odemykají	Riziko
Účet	`account.read` `account.write` `account.remove`	Správa entit, členů týmu, nastavení, aplikací	Nízké–Střední
Inventář	`inventory.read` `inventory.write` `inventory.remove`	Nemovitosti, typy pokojů, cenové plány, ceny, doplňky, dostupnost, aktivity, atrakce	Nízké–Střední
Rezervace	`booking.read` `booking.write` `booking.remove`	Vyhledávání, prohlížení, vytváření, rušení a refundace rezervací; checkout; storno podmínky	Nízké–Střední
Marketing	`marketing.read` `marketing.write` `marketing.remove`	Kampaně, výhody, prodejní kanály, WinkLinks, spravované sociální sítě, věrnostní program	Nízké–Střední
Obsah	`content.read` `content.write` `content.remove`	Popisy nemovitostí, recenze, média, mapy, zelený index	Nízké–Střední
Analytika	`analytics.read` `analytics.write` `analytics.remove`	Reporty a analytika — příjmy, žebříčky	Nízké–Střední
Integrace	`integrations.read` `integrations.write` `integrations.remove`	Channel manažeři, externí rezervační systémy, Google Hotel, notifikační koncové body, synchronizace rezervací	Nízké–Střední
Platby	`payment.read` `payment.write` `payment.remove`	Zpracování plateb, Stripe, Revolut, výplaty, předplatné	Střední–Vysoké
Účetnictví	`accounting.read` `accounting.write` `accounting.remove`	Účetnictví, kniha výběrů, smíření	Střední–Vysoké
MCP	`mcp.read` `mcp.write` `mcp.remove`	Otevírá MCP transport (`/mcp`) pro AI agenty	Nízké–Střední

Několik věcí k zapamatování:

Žádejte minimum. Požadujte pouze scope, které vaše integrace skutečně používá — token s širším přístupem než je nutné má větší dopad v případě úniku.
Neznámé scope jsou odmítnuty. Žádost o scope, pro které vaše aplikace není registrována, nebo které neexistuje, selže při vydávání tokenu.
mcp.* je pouze pro klienty AI agentů. Potřebujete ho k otevření MCP transportu; není vyžadován pro běžné REST API volání. Viz Model Context Protocol.