poai_ Server a server Chiave API
- Diritti dell'account che la crea (amministratore: intero account)
- Non consegnare mai nel codice del browser
- Nessun header Origin necessario
- Bloccato per MCP
- Può essere limitata agli indirizzi IP
Autenticazione e Chiavi
Un Token Bearer. Ogni endpoint.
Ogni endpoint del prodotto PaperOffice-API richiede l'intestazione Authorization: Bearer. Nessun flusso OAuth, nessun refresh.
Due tipi di token, diritti chiari, limiti di frequenza documentati.
Un'intestazione Nessun flusso OAuth Revocabile in qualsiasi momento
- Infrastruttura EU proprietaria I suoi dati rimangono in Europa.
- ISO/IEC 27001 certificato Sicurezza certificata.
- Oltre 24 anni di esperienza Collaudato. Stabile. Futuro garantito.
curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \ -H "Authorization: Bearer po_ut_YOUR_API_KEY" \ -F "file_1=@invoice.pdf" \ -F "idp_collection=invoice" \ -F "model=basic-pro-max"import requestsresponse = requests.post( "https://api.paperoffice.ai/latest/job/add/workflow", headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"}, files={"file_1": open("invoice.pdf", "rb")}, data={"idp_collection": "invoice", "model": "basic-pro-max"},)print(response.json())const form = new FormData();form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");form.append("idp_collection", "invoice");form.append("model", "basic-pro-max");const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", { method: "POST", headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" }, body: form,});console.log(await response.json());Primo avvio
Imposti l'intestazione, scelga la pipeline, invii
Il percorso dopo /latest/job/add/ è il nome dell'operazione: solitamente in forma handler___command (ad esempio paperoffice_aiocr___generate), e per i dati strutturati IDP, la pipeline dedicata workflow.
- Un'intestazione
Authorization: Bearer po_ut_… — un endpoint di prodotto non ha bisogno di altro. poai_ e po_ut_ non inviano l'intestazione Origin.
- Pipeline nel percorso
handler___command con tre trattini bassi; workflow è l'eccezione con uno slug dedicato. La notazione puntata risponde a API con HTTP 400 JOB_CONFIG_INVALID.
- Risultato o job_id
client_wait è true per impostazione predefinita: API mantiene la connessione e restituisce il risultato inline. Se la finestra temporale non è sufficiente, viene restituito HTTP 202 con job_id e poll_url per GET /latest/job/get/{job_id}.
Per idp_collection=invoice, si consiglia il modello basic-pro-max. Il modello effettivamente utilizzato viene restituito nel campo della risposta 'model' e può differire da quello richiesto.
Tipi di token
Due tipi di token, chiaramente separati
Entrambi devono essere inviati al server. Vengono creati, ruotati e revocati nell'app sotto Account → API.
po_ut_ Utente User Token
- Eredità i diritti del suo utente
- Non consegnare mai nel codice del browser
- Nessun header Origin necessario
- Consentito per MCP
Le chiamate dirette dal browser non passano attraverso questi due token, ma utilizzano la chiave pubblicabile po_pk_ — vincolata alla provenienza, con budget e limiti di frequenza. Visualizzare le chiavi pubblicabili
Autorizzazioni
Cosa può fare un User Token
Un User Token possiede esattamente i diritti del suo utente in questi ambiti. Singoli ambiti non possono essere assegnati durante la creazione; per limitare l'accesso si utilizza un token di gruppo (po_gt_) con i diritti di un gruppo di utenti.
- Documenti
documentsCaricamento, Download, elaborazione
- Workspaces
workspacesGestione cartelle e struttura
- Lavori AI
ai_jobsOCR, IDP, estrazione
- Fatturazione
billingLettura utilizzo e saldo conto
- Utenti
usersGestisci i membri del team
- Webhook
webhooksRicevi eventi
- Base di conoscenza
knowledge_baseDatabase delle conoscenze e FAQ
- Agenti
agentsConfigurare gli agenti IDP
- Flussi di lavoro
workflowsCreare automazioni
- Conformità
complianceAudit, GDPR, archiviazione
Limiti di frequenza
Cosa conta per API
Il conteggio avviene per token; senza Bearer per indirizzo IP. I valori seguenti sono i minimi documentati che si applicano a ogni tariffa.
- 5
- Richieste al secondo
- 30
- Richieste al minuto
- 100
- Richieste all'ora
- 500
- Richieste al giorno
- I valori residui sono nell'intestazione della risposta
Gli header RateLimit-* e X-RateLimit-* di ogni risposta indicano quanto rimane disponibile nella finestra corrente.
- Superamento del limite: HTTP 429
La API risponde con RATE_LIMIT_EXCEEDED. Ripetere la chiamata dopo il tempo indicato nell'header Retry-After.
- Tariffe superiori aumentano i valori
Le tariffe a pagamento si trovano al di sopra di questi valori minimi. Quale tariffa ha quale ambito è indicato nella pagina dei prezzi.
Sicurezza
Cosa protegge una chiave
Sei meccanismi che entrano in azione durante l'esercizio — ciascuno con un codice di stato verificabile o una posizione nell'app.
- Rotazione e revoca
Le chiavi vengono create, elencate, ruotate e revocate nell'app sotto Account → API. Un token revocato risponde con HTTP 401 TOKEN_NOT_FOUND.
- Scadenza e validità
I token scaduti rispondono con HTTP 401 BEARERTOKEN_EXPIRED, quelli errati con HTTP 401 INVALID_TOKEN. Publishable Keys sono validi per 180 giorni dalla creazione.
- Limiti per token
Nel piano Free sono applicati limiti di frequenza per token. Nei piani a pagamento, il conteggio avviene a livello di account; fintanto che sono disponibili Credits, non si applicano limiti di frequenza.
- Vincolo dell'origine nel browser
Le chiavi pubblicabili richiedono ad ogni richiesta un Origin dalla allowlist; altrimenti l'API risponde con 403 ORIGIN_HEADER_REQUIRED o DOMAIN_NOT_ALLOWED.
- Tracciabilità dell'utilizzo
Ogni risposta fatturata include un blocco _billing; la valutazione per chiamata fornisce GET /latest/billing/usage-detail.
- Blocchi rigidi
Il login all'account, la gestione delle chiavi, OAuth, l'amministrazione dei partner, le modifiche ai pagamenti e il cracking delle password sono bloccati per le chiavi del browser. Il prodotto APIs con lettura della fatturazione e webhook è consentito. Eliminare Workspace, svuotare il cestino e revocare la Legal Hold è possibile solo nell'app (403 UI_ONLY_ENDPOINT).
Iniziare ora
Crei la chiave, imposti l'intestazione, invii
Nell'app, crei la chiave in Account → API. La prima chiamata è descritta passo per passo nella Prima chiamata API.
Operazioni e fiducia
Cosa i team enterprise verificano prima della prima chiamata
Contratti, sicurezza, supporto e limiti, tutti linkati in un unico luogo.
- Sicurezza e conformità ISO/IEC 27001 certificato, propria infrastruttura UE.
- SLA 99,9% Disponibilità per ogni mese civile, garantita contrattualmente.
- Trattamento dei dati per conto terzi (DPA) Contratto per il trattamento dei dati per conto terzi ai sensi dell'art. 28 del GDPR.
- Nessun sub-processor Un fornitore per motore, archiviazione ed elaborazione.
- Supporto tecnico Canale diretto verso il team di supporto, con ticket.
- Limiti di frequenza e intestazioni Valori minimi documentati per token, intestazioni RateLimit in ogni risposta.
- Prezzi e Credits Prezzi trasparenti dei Credits per chiamata.
Prossima fermata
Come procedere
Il prossimo passo consigliato nel funnel degli sviluppatori e due diramazioni pertinenti.
