Безопасно ли давать токен и что сервис может с ним сделать?

Токен нужен сервису, чтобы читать данные вашего кабинета Wildberries. Он хранится в зашифрованном виде, и вы в любой момент можете отозвать его в кабинете WB или в сервисе.

К чему даёт доступ токен

Доступ определяют категории, которые вы отметили при создании токена в кабинете WB. Сервис просит три обязательные: «Статистика», «Контент» и «Аналитика». Остальные категории необязательны: без них часть отчётов и уведомлений будет пустой. Категорию «Пользователи» отмечать не нужно. Подробности - в статье Какие категории токена WB нужны.

Принимается только персональный токен. Токен создаёт и передаёт владелец кабинета WB.

Только чтение

При создании токена просим включить «Только чтение». Такой токен позволяет получать данные, но не позволяет менять что-либо в кабинете WB. Сервис получает с его помощью заказы, продажи, остатки, карточки и отчёты.

Сервис не проверяет эту галочку при подключении. Если оставить токен с правом записи, ограничение будет держаться только на вашей настройке в WB. Поэтому включайте «Только чтение». Токен с этой отметкой на сайте подписан «только чтение».

Как токен хранится и кто его видит

• В базе токен хранится только в зашифрованном виде (шифрование Fernet), в открытом виде его там нет.
• Сервис расшифровывает токен в момент запроса к WB.
• Сайт и бот показывают только сведения о токене: идентификатор, срок и категории. Сам токен не показывается.
• В Telegram и MAX бот после получения токена старается удалить ваше сообщение с ним. Если сообщение осталось, удалите его сами.
• Токены могут заменять и отзывать владелец кабинета и менеджер.

Храните токен как пароль: не отправляйте его в чаты и письма, кроме подключения в сервисе.

Как отозвать токен

В кабинете WB. Откройте Профиль - Настройки - «Доступ к API» и удалите токен. WB перестанет принимать запросы с ним. Когда WB несколько раз подряд откажет в доступе, сервис отключит этот токен сам и пришлёт уведомление «Токен отозван».

В сервисе.

• В боте: «Настройки кабинета» - «Токены WB» - «Отозвать».
• На сайте: «Настройки» - вкладка «WB API ключи» - значок «Отозвать токен» в карточке токена, затем «Отозвать».

После отзыва данные по кабинету перестанут обновляться, уже собранные отчёты сохранятся. Чтобы вернуть данные, подключите новый токен: см. Как заменить или обновить токен WB.

Надёжнее всего отозвать токен и там и там: отзыв в сервисе отключает токен только у нас, а в WB он остаётся действующим, пока вы его не удалите.