Autenticazione

Due strade, una sola regola: chi possiede i dati decide il meccanismo.

Personal access token

Un PAT agisce come te — può raggiungere solo le tue liste, i tuoi articoli e il tuo profilo. Un semplice Authorization: Bearer pon_pat_…, nient’altro. Usalo per script, cron job, Home Assistant, dashboard.

• Si crea su my.pon.app → Access tokens, con scope per token.
• Scadenza: 90 giorni di default, fino a 365, o senza scadenza se lo scegli.
• Fino a 10 token per account; il segreto viene mostrato esattamente una volta.
• I PAT coprono gli scope di liste, prodotti e profilo — gli scope media sono riservati alle app OAuth.

App che fanno accedere altre persone

Tutto quanto sopra riguarda il tuo account. Nel momento in cui un’app fa accedere altri utenti pon, passa per OAuth 2.1 sul login ospitato (auth.pon.app) — quei client partner li configuriamo individualmente. Stai costruendo qualcosa del genere? Scrivi a developers@pon.app e ti aiutiamo a partire.

Scope

Richiedi l’insieme più piccolo che funziona — puoi sempre creare un altro token con più scope.

Gli errori che incontrerai

• 401 UNAUTHORIZED — token mancante/scaduto, o un problema con la proof DPoP (l’header WWW-Authenticate ti dice quale).
• 403 DEVELOPER_MODE_REQUIRED — l’account non ha mai attivato la modalità sviluppatore.
• 403 EMAIL_UNVERIFIED — conferma prima l’indirizzo e-mail dell’account.