Kimlik Doğrulama

Bir uygulama size Wink ve TripPay API’leri ile iletişim kurmak için kullanabileceğiniz kimlik doğrulamalı bir OAuth2 oturumu oluşturmak üzere ihtiyacınız olan Client ID ve Secret Key sağlar.

İşte kimlik doğrulamalı bir oturum oluşturma adımları.

Adım 1. Staging veya üretim ortamımızda bir erişim belirteci alın:

Muhtemelen, diliniz için tüm ağır işleri sizin yerinize yapacak sağlam bir OAuth2 kütüphanesi ile çalışacaksınız. Örneklerimiz, komut satırından curl kullanarak en temel kullanımı gösterecektir.

Staging

curl -X POST https://staging-iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Üretim

curl -X POST https://iam.wink.travel/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=<YOUR_CLIENT_ID>" \
  -d "client_secret=<YOUR_SECRET_KEY>"

Bu, diğer OAuth2 yanıt verileriyle birlikte bir erişim belirteci döndürecektir:

{
  "access_token": "abc123"
}

Herhangi bir uç noktamıza çağrı yaptığınızda, başlıkta aşağıdakileri ekleyin:

Wink-Version = 2.0 En son - Diğer mevcut sürümler için API dokümanlarımıza bakın.
Authorization = Bearer ${access_token} Erişim belirtecinizi buraya ekleyin.

Kapsamlar

Bir kapsam, erişim belirtecinizin taşıdığı bir izindir. Bir belirteç talep ettiğinizde, scope parametresinde boşlukla ayrılmış kapsam listesini iletirsiniz ve belirteç yalnızca bu kapsamların kapsadığı alanlara erişebilir. client_credentials yetkilendirmesi ile kapsamları belirteç talebinizde ayarlarsınız — yukarıdaki curl örneklerine ve Postman adım adım rehberine bakın.

Kapsamlar section.action biçiminde adlandırılır, burada action şunlardan biridir:

read — kaynakları görüntüleme (güvenli GET istekleri)
write — kaynak oluşturma ve güncelleme (POST / PUT / PATCH)
remove — kaynak silme (DELETE)

Wink izinleri fonksiyonel alanlara göre gruplar. Entegrasyonunuzun ihtiyaç duyduğu kapsamları talep edin:

Kapsam grubu	Kapsamlar	Açtıkları alanlar	Risk
Hesap	`account.read` `account.write` `account.remove`	Varlıklar, ekip üyeleri, ayarlar, uygulamalar yönetimi	Düşük–Orta
Envanter	`inventory.read` `inventory.write` `inventory.remove`	Tesisler, oda tipleri, fiyat planları, fiyatlar, ek hizmetler, müsaitlik, aktiviteler, cazibe merkezleri	Düşük–Orta
Rezervasyon	`booking.read` `booking.write` `booking.remove`	Arama, görüntüleme, oluşturma, iptal etme ve iade işlemleri; ödeme; iptal politikaları	Düşük–Orta
Pazarlama	`marketing.read` `marketing.write` `marketing.remove`	Kampanyalar, avantajlar, satış kanalları, WinkLinks, yönetilen sosyal, sadakat	Düşük–Orta
İçerik	`content.read` `content.write` `content.remove`	Tesis açıklamaları, yorumlar, medya, haritalar, yeşil indeks	Düşük–Orta
Analitik	`analytics.read` `analytics.write` `analytics.remove`	Raporlama ve analiz — gelir, lider tabloları	Düşük–Orta
Entegrasyonlar	`integrations.read` `integrations.write` `integrations.remove`	Kanal yöneticileri, harici rezervasyon sistemleri, Google Hotel, bildirim uç noktaları, rezervasyon senkronizasyonu	Düşük–Orta
Ödeme	`payment.read` `payment.write` `payment.remove`	Ödeme işleme, Stripe, Revolut, ödemeler, abonelikler	Orta–Yüksek
Muhasebe	`accounting.read` `accounting.write` `accounting.remove`	Muhasebe, çekim defteri, mutabakat	Orta–Yüksek
MCP	`mcp.read` `mcp.write` `mcp.remove`	AI ajanları için MCP taşıma (`/mcp`) açar	Düşük–Orta

Dikkat edilmesi gereken birkaç nokta:

Minimumu talep edin. Entegrasyonunuzun gerçekten kullandığı kapsamları isteyin — gereğinden geniş erişimle verilen bir belirteç sızarsa daha büyük zarar verir.
Bilinmeyen kapsamlar reddedilir. Uygulamanızın kayıtlı olmadığı veya var olmayan bir kapsam talep etmek, belirteç verilmesini başarısız kılar.
mcp.* yalnızca AI ajan istemcileri içindir. MCP taşımasını açmak için gereklidir; normal REST API çağrıları için gerekli değildir. Model Context Protocol sayfasına bakın.