Kimlik Doğrulama

Bir uygulama size Wink ve TripPay API’leri ile iletişim kurmak için kullanabileceğiniz kimlik doğrulamalı bir OAuth2 oturumu oluşturmak üzere ihtiyacınız olan Client ID ve Secret Key sağlar.

İşte kimlik doğrulamalı bir oturum oluşturma adımları.

Adım 1. Staging veya üretim ortamımızda bir erişim belirteci alın:

Muhtemelen, diliniz için sağlam bir OAuth2 kütüphanesi kullanıyor olacaksınız ve bu kütüphane tüm ağır işleri sizin için yapacaktır. Örneklerimiz, komut satırından curl kullanarak en temel kullanımı gösterecektir.

Staging

curl -X POST https://staging-iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Üretim

curl -X POST https://iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Bu, diğer OAuth2 yanıt verileriyle birlikte bir erişim belirteci döndürecektir:

{
  "access_token": "abc123"
}

Herhangi bir uç noktamıza çağrı yaptığınızda, başlıkta aşağıdakileri ekleyin:

Wink-Version = 2.0 En son - Diğer mevcut sürümler için API dokümanlarımıza bakın.
Authorization = Bearer ${access_token} Erişim belirtecinizi buraya ekleyin.

Kapsamlar

Bir kapsam, erişim belirtecinizin taşıdığı bir izindir. Bir belirteç istediğinizde, scope parametresinde boşlukla ayrılmış kapsam listesini iletirsiniz ve belirteç yalnızca bu kapsamların kapsadığı alanlara erişebilir. client_credentials yetkilendirmesi ile kapsamları belirteç isteğinizde ayarlarsınız — yukarıdaki curl örneklerine ve Postman adım adım rehberine bakın.

Kapsamlar section.action biçiminde adlandırılır ve eylem şunlardan biridir:

read — kaynakları görüntüleme (güvenli GET istekleri)
write — kaynak oluşturma ve güncelleme (POST / PUT / PATCH)
remove — kaynak silme (DELETE)

Wink izinleri işlevsel alanlara göre gruplar. Entegrasyonunuzun ihtiyaç duyduğu kapsamları isteyin:

Kapsam grubu	Kapsamlar	Açtıkları alanlar	Risk
Hesap	`account.read` `account.write` `account.remove`	Varlıklar, ekip üyeleri, ayarlar, uygulamalar yönetimi	Düşük–Orta
Envanter	`inventory.read` `inventory.write` `inventory.remove`	Tesisler, oda tipleri, fiyat planları, fiyatlar, ek hizmetler, müsaitlik, aktiviteler, cazibe merkezleri	Düşük–Orta
Rezervasyon	`booking.read` `booking.write` `booking.remove`	Arama, görüntüleme, oluşturma, iptal etme ve iade işlemleri; ödeme; iptal politikaları	Düşük–Orta
Pazarlama	`marketing.read` `marketing.write` `marketing.remove`	Kampanyalar, avantajlar, satış kanalları, WinkLinks, yönetilen sosyal, sadakat	Düşük–Orta
İçerik	`content.read` `content.write` `content.remove`	Tesis açıklamaları, yorumlar, medya, haritalar, yeşil indeks	Düşük–Orta
Analitik	`analytics.read` `analytics.write` `analytics.remove`	Raporlama ve analiz — gelir, lider tabloları	Düşük–Orta
Entegrasyonlar	`integrations.read` `integrations.write` `integrations.remove`	Kanal yöneticileri, harici rezervasyon sistemleri, Google Hotel, bildirim uç noktaları, rezervasyon senkronizasyonu	Düşük–Orta
Ödeme	`payment.read` `payment.write` `payment.remove`	Ödeme işleme, Stripe, Revolut, ödemeler, abonelikler	Orta–Yüksek
Muhasebe	`accounting.read` `accounting.write` `accounting.remove`	Muhasebe, çekim defteri, mutabakat	Orta–Yüksek
MCP	`mcp.read` `mcp.write` `mcp.remove`	AI ajanları için MCP taşıma (`/mcp`) açar	Düşük–Orta

Dikkat edilmesi gereken birkaç nokta:

Minimum isteyin. Entegrasyonunuzun gerçekten kullandığı kapsamları isteyin — gereğinden geniş erişimle verilen bir belirteç sızarsa daha büyük zarar verir.
Bilinmeyen kapsamlar reddedilir. Uygulamanızın kayıtlı olmadığı veya var olmayan bir kapsam isterseniz, belirteç verilmez.
mcp.* yalnızca AI ajan istemcileri içindir. MCP taşımasını açmak için gereklidir; normal REST API çağrıları için gerekli değildir. Bakınız Model Context Protocol.