Chave do site para WordPress

O plugin AstroWay para WordPress obtém a chave sozinho, sem registo: o site mostra a prova no seu percurso REST, nós verificamo‑la e emitimos uma chave associada a esse site.

Como funciona a verificação

1. O plugin gera proof_id (UUID v4) e proof (32 bytes aleatórios em base64url, 43 caracteres) e os mantém durante 10 minutos.
2. O site responde a GET <home_url>/wp-json/astroway/v1/verify?nonce=<proof_id> com Content-Type: application/json e corpo {"proof":"<proof>"}.
3. O plugin envia POST /v1/site-keys:

{ "site_url": "https://example.com", "proof_id": "3f1c2a9e-8b7d-4c1e-9f3a-2b6d5e4c1a07", "proof": "<43 characters>" }

site_url é exatamente home_url(), sem ? nem #. Para ligações permanentes simples, passa verify_url com ?rest_route=/astroway/v1/verify: é aceito apenas no mesmo site e apenas como essa rota.

O que a chave oferece

• para o servidor do site: um pedido a partir do browser (com o cabeçalho Origin) devolve 403, e cada chamada tem de indicar o site em X-AstroWay-Site-URL. A associação mantém‑se neste cabeçalho, por isso guarda a chave como segredo, e se vazar, obtém uma nova: a anterior será revogada;
• conjunto de leituras gratuitas, 300 chamadas por hora por site, sem créditos; horóscopos com data são aceites apenas perto da data atual;
• uma chave por instalação (host e caminho base), até 5 instalações por host com a mesma hora.

Erros: 400 INVALID_SITE_URL, 422 SITE_VERIFICATION_FAILED com details.reason, 429 SITE_KEY_RATE_LIMIT com retry_after.

Ligação da conta

Quando o proprietário do site quer usar o seu plano, o plugin transfere o site para a chave da conta num único clique.

1. O plugin abre no browser do administrador https://api.astroway.info/dashboard/connect?site=<home_url>&return=<admin_url>&state=<16-128 символів>&source=wp_plugin. return tem de estar no mesmo host que site, e em https.
2. O administrador entra ou regista‑se e escolhe a chave para o site ou cria uma nova. Uma chave já associada a outro domínio só é transferida após confirmação separada.
3. O browser devolve a return com code e o mesmo state. Cancelar devolve error=access_denied.
4. O servidor do site troca o código, enviando a sua chave do site em X-Api-Key:

POST /v1/site-keys/connect/exchange
{ "code": "<43 characters>", "site_url": "https://example.com" }

Resposta: { "key": "aw_live_…", "plan": "free", "domain": "example.com", "account": "j***@example.com" }. O código vive 5 minutos. Trocar novamente o mesmo código com a mesma chave do site dentro de 10 minutos devolve a mesma resposta. A chave do site deixa de ser válida 24 horas após a troca.

Erros: 400 INVALID_CODE, 410 CODE_EXPIRED, 403 SITE_MISMATCH.