인증

api.danny22.com의 모든 보호된 엔드포인트는 표준 bearer 인증만 지원합니다:

Authorization: Bearer <token>

쿠키는 인증 수단으로 사용되지 않습니다 — 헤더가 없거나 Bearer 스킴이 아니면 401 unauthorized가 반환됩니다.

토큰은 두 종류가 있으며, 값의 형태로 자동 구분됩니다.

1. JWT access-token (로그인 기반)

사람 또는 사람을 대신하는 애플리케이션이 danny22 플랫폼 콘솔(platform.danny22.com) 로그인을 거쳐 발급받는 단기 토큰입니다. 표준 OAuth 2.0 authorization-code 흐름을 따릅니다.

• 토큰은 단기 수명(수 분~수십 분)입니다. 만료되면 다시 로그인 흐름을 거쳐 재발급받습니다.
• 토큰은 점(.)으로 구분된 3개의 세그먼트를 가진 JWT 구조입니다.
• 별도의 refresh 절차나 세션 관리는 플랫폼 콘솔이 담당합니다 — 이 게이트웨이는 로그인 화면을 제공하지 않습니다.

참고: JWT bearer 인증은 현재 제한적으로 지원되며, 안정화 단계입니다. 프로그램 호출에는 아래 ak_ API 키를 권장합니다.

2. ak_ API 키 (프로그램 접근)

서버-대-서버 등 프로그램적 접근에는 API 키를 사용합니다.

• 형태: ak_<keyid>.<secret> — 이 값 전체를 그대로 bearer 토큰으로 사용합니다: Authorization: Bearer ak_xxxxxxxx.yyyyyyyyyyyyyyyy
• 발급. platform 콘솔(platform.danny22.com)에 로그인한 뒤 계정 설정의 API 키 발급 화면에서 생성합니다. 키는 발급 시점에 한 번만 원문으로 표시되므로 즉시 안전한 곳에 저장하세요.
• 폐기. 콘솔에서 언제든 키를 폐기(revoke)할 수 있으며, 폐기는 짧은 캐시 지연(최대 수십 초) 내 반영됩니다.
• API 키는 장수명 자격증명입니다 — 소스코드·공개 저장소·클라이언트 사이드 코드에 절대 포함하지 마세요.

두 방식 중 선택 기준

상황	권장
사람이 브라우저로 로그인해 접근	JWT(플랫폼 콘솔 로그인)
서버/스크립트/CI에서 프로그램적으로 호출	ak_ API 키

사용 예시

인증 헤더 없이 보호된 경로를 호출하면 401이 반환됩니다:

curl -s -i https://api.danny22.com/v1/<service>/<path>
# HTTP/2 401
# {"error":"unauthorized"}

토큰(JWT 또는 ak_ 키)이 있으면 Authorization 헤더에 그대로 실어 호출합니다:

curl -s -H "Authorization: Bearer <token>" \
  https://api.danny22.com/v1/<service>/<path>

실패 응답

인증 헤더 부재, 형식 오류, 서명/만료 검증 실패, 판별 불가 등 모든 인증 실패는 동일하게 401로 응답합니다(실패 사유를 구분해 노출하지 않습니다). 인증은 통과했지만 요청한 자원에 필요한 권한(scope)이 없는 경우에는 403이 반환됩니다. 자세한 에러 코드는 에러를 참고하세요.