En üstteki sahiplik düzeyi; bir ekibi ya da şirketi temsil eder. Birden çok oyun barındırır. Yönetimi panelde Sunucu bölümündedir.
Oyun (game)
Stüdyonun altındaki ürün. Kendi ortamları, modülleri ve API anahtarları vardır.
Ortam (environment)
Bir oyunun yalıtılmış çalışma kopyası (ör. geliştirme, canlı). Veriler ortamlar arasında paylaşılmaz. Her API anahtarı ve oyuncu oturumu tek bir ortama bağlıdır.
Ortam alan adı (environment domain)
Ortama bağlı alan adı; aynı zamanda tarayıcı isteklerinde izinli köken (Origin) listesi olarak kullanılır.
Modül (module)
Açılıp kapatılabilen ürün parçası: karakterler, ekonomi, eşyalar, ticaret, mağaza, ödüller, sosyal, sohbet, rekabet, bildirimler, webhook’lar, sahneler ve eklentiler. Kapalı modülün uçları 404 module_disabled döner.
Panel (admin panel)
Oyunu yönettiğiniz web arayüzü. Panel API’si oyuncu API’sinden ayrıdır ve bu dokümanın kapsamında değildir.
crx_live_<önek>_<gizli> biçimli, yalnız sizin sunucunuzda tutulan gizli API anahtarı. Tüm sunucu uçlarını çağırabilir. İstemciye ya da oyun paketine asla konmaz.
İstemci anahtarı (client key)
İstemciye gömülebilen API anahtarı. Hassas komutlar (ör. add_xp) çalıştıramaz; ancak bazı uçlarda tür kapısı yoktur, bu yüzden yalnız gerçekten gerekliyse kullanın (uç noktalar).
Oyuncu oturumu (player session)
Oyuncunun girişinden sonra oluşan oturum. Çerezle (__Secure-crx.session) ya da Bearer oturum jetonuyla taşınır ve x-crx-env başlığı ister.
Erişim JWT’si (access JWT)
Oturum açıldığında gövdede dönen, oyun sunucunuzun JWKS ile çevrimdışı doğrulayabildiği kısa ömürlü jeton. Oturum jetonu ile aynı şey değildir.
JWKS
Erişim JWT’sini doğrulamak için açık anahtar kümesi (GET /v1/auth/jwks).
Misafir (guest)
Kayıt gerektirmeyen oyuncu; aynı gizli değerle her seferinde aynı oyuncuya döner ve sonradan e-posta hesabına yükseltilebilir.
CSRF
Tarayıcının kullanıcı adına istenmeyen istek göndermesini engelleyen çift gönderim: çerez + x-csrf-token başlığı. Çerez oturumunda değiştirici isteklerde gerekir.
Origin denetimi
Değiştirici isteklerde Origin başlığının ortamın izinli kökenlerinden olması kuralı. Sunucu CORS başlıklarını yalnız aynı alan adı listesindeki origin’lere gönderir; CORS yetki değildir, bu denetim ayrıca çalışır.
Aynı köken (same-origin)
Oyunun ve API’nin aynı alan adı altında (ters vekil ile) sunulması; mimari ve barındırma.
Oyuncu bileti (realtime ticket)
Realtime soketine bağlanmak için alınan tek kullanımlık, 30 saniyelik kimlik belirteci (protokol).