poai_ Serwer do serwera Klucz API
- Uprawnienia konta, które go tworzy (admin: całe konto)
- Nigdy nie dostarczaj w kodzie przeglądarki
- Nie wymaga nagłówka Origin
- Zablokowane dla MCP
- Można ograniczyć do adresów IP
Uwierzytelnianie i klucze
Token Bearer. Każdy punkt końcowy.
Każdy punkt końcowy produktu PaperOffice-API oczekuje nagłówka Authorization: Bearer. Bez przepływu OAuth, bez odświeżania.
Dwa typy tokenów, jasne uprawnienia, udokumentowane limity częstotliwości wywołań.
Jeden nagłówek Brak przepływu OAuth Możliwe cofnięcie w dowolnym momencie
- Własna infrastruktura UE Dane pozostają w Europie.
- ISO/IEC 27001 certyfikowane Bezpieczeństwo certyfikowane.
- Ponad 24 lata doświadczenia Sprawdzone. Stabilne. Bezpieczne dla przyszłości.
curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \ -H "Authorization: Bearer po_ut_YOUR_API_KEY" \ -F "file_1=@invoice.pdf" \ -F "idp_collection=invoice" \ -F "model=basic-pro-max"import requestsresponse = requests.post( "https://api.paperoffice.ai/latest/job/add/workflow", headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"}, files={"file_1": open("invoice.pdf", "rb")}, data={"idp_collection": "invoice", "model": "basic-pro-max"},)print(response.json())const form = new FormData();form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");form.append("idp_collection", "invoice");form.append("model", "basic-pro-max");const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", { method: "POST", headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" }, body: form,});console.log(await response.json());Pierwsze wywołanie
Ustawienie nagłówka, wybór potoku, wysyłka
Ścieżka po /latest/job/add/ to nazwa operacji: zwykle w formacie handler___command (na przykład paperoffice_aiocr___generate), a dla strukturyzowanych danych IDP dedykowana potokowa usługa workflow.
- Jeden nagłówek
Authorization: Bearer po_ut_… — więcej nie jest potrzebne dla punktu końcowego produktu. poai_ i po_ut_ nie wysyłają nagłówka Origin.
- Potok w ścieżce
handler___command z trzema podkreśleniami; workflow jest wyjątkiem z własnym slugiem. Notacja kropek odpowiada na API kodem HTTP 400 JOB_CONFIG_INVALID.
- Wynik lub job_id
Domyślna wartość client_wait to true: API utrzymuje połączenie i zwraca wynik w ramach tej samej odpowiedzi. Jeśli okno oczekiwania jest niewystarczające, otrzymuje się kod HTTP 202 z job_id oraz poll_url do wykonania żądania GET /latest/job/get/{job_id}.
Dla idp_collection=invoice zalecanym modelem jest basic-pro-max. Rzeczywiście użyty model zostanie zwrócony w polu odpowiedzi „model” i może różnić się od żądanego.
Typy tokenów
Dwa typy tokenów, wyraźnie oddzielone
Oba należy umieścić na serwerze. Są tworzone, rotowane i cofane w aplikacji pod Konto → API.
po_ut_ Powiązane z użytkownikiem User Token
- Przekazuje uprawnienia swojego użytkownika
- Nigdy nie dostarczaj w kodzie przeglądarki
- Nie jest wymagany nagłówek Origin
- Dozwolone dla MCP
Wywołania bezpośrednio z przeglądarki nie przechodzą przez te dwa tokeny, lecz przez klucz publishable po_pk_ — powiązany z źródłem, z limitem budżetu i limitu żądań. Przegląd Publishable Keys
Uprawnienia
Co może robić User Token
User Token posiada dokładnie te same uprawnienia co jego użytkownik w określonych obszarach. Poszczególne obszary nie mogą być przypisane podczas tworzenia; do zawężenia dostępu służy token grupowy (po_gt_) z uprawnieniami grupy użytkowników.
- Dokumenty
documentsPrzesyłanie, Pobieranie, Przetwarzanie
- Workspaces
workspacesZarządzanie folderami i strukturą
- Zadania AI
ai_jobsOCR, IDP, Ekstrakcja
- Rozliczenie
billingOdczyt użycia i salda konta
- Użytkownicy
usersZarządzaj członkami zespołu
- Webhooki
webhooksOdbieraj zdarzenia
- Baza wiedzy
knowledge_baseBaza wiedzy i FAQ
- Agenci
agentsKonfiguruj agentów IDP
- Workflowy
workflowsTwórz automatyzacje
- Zgodność
complianceAudyt, RODO, archiwizacja
Ograniczenia szybkości
Co liczy się w API
Rozliczane jest za każdy token; bez Bearera według adresu IP. Poniższe wartości to udokumentowane minimalne wartości obowiązujące w każdym taryfie.
- 5
- Zapytania na sekundę
- 30
- Zapytania na minutę
- 100
- Zapytania na godzinę
- 500
- Zapytania na dzień
- Pozostałe wartości znajdują się w nagłówku odpowiedzi
Nagłówki RateLimit-* i X-RateLimit-* każdej odpowiedzi informują, ile pozostało w bieżącym oknie czasowym.
- Przekroczenie: HTTP 429
API odpowiada kodem RATE_LIMIT_EXCEEDED. Proszę powtórzyć wywołanie po czasie podanym w nagłówku Retry-After.
- Wyższe taryfy podnoszą wartości
Płatne taryfy znajdują się powyżej tych wartości minimalnych. Zakres poszczególnych taryf znajduje się na stronie cenowej.
Bezpieczeństwo
Co chroni klucz
Sześć mechanizmów działających w eksploatacji — każdy z weryfikowalnym kodem statusu lub lokalizacją w aplikacji.
- Rotacja i unieważnienie
Klucze są tworzone, wyświetlane, rotowane i unieważniane w aplikacji pod ścieżką Konto → API. Unieważniony token zwraca odpowiedź HTTP 401 TOKEN_NOT_FOUND.
- Ważność i termin ważności
Wygasłe tokeny zwracają HTTP 401 BEARERTOKEN_EXPIRED, błędne zwracają HTTP 401 INVALID_TOKEN. Publishable Keys są ważne przez 180 dni od momentu utworzenia.
- Limity na token
W taryfie Free obowiązują limity szybkości (rate-limits) na token. W płatnych taryfach limit liczony jest dla konta; dopóki dostępne są Credits, w taryfach płatnych nie obowiązują limity szybkości.
- Powiązanie z pochodzeniem w przeglądarce
Klucze publikowalne wymagają przy każdym zapytaniu nagłówka Origin z listy dozwolonych; w przeciwnym razie API odpowiada 403 ORIGIN_HEADER_REQUIRED lub DOMAIN_NOT_ALLOWED.
- Śledzenie użycia
Każda rozliczona odpowiedź zawiera blok _billing; ocena na wywołanie daje GET /latest/billing/usage-detail.
- Sztywne blokady
Logowanie do konta, zarządzanie kluczami, OAuth, administrowanie partnerami, modyfikacje płatności i łamanie haseł są zablokowane dla kluczy przeglądarkowych. Produkt APIs wraz z odczytem rozliczeń i webhookami jest dozwolony. Usuwanie Workspace, opróżnianie kosza i zwalnianie holdu prawnego możliwe tylko w aplikacji (403 UI_ONLY_ENDPOINT).
Start
Utworzenie klucza, ustawienie nagłówka, wysyłka
Klucz tworzy się w aplikacji w zakładce Konto → API. Pierwsze wywołanie opisano krok po kroku w pierwszym przewodniku po wywołaniach API.
Eksploatacja i zaufanie
Co zespoły enterprise sprawdzają przed pierwszym połączeniem
Umowy, bezpieczeństwo, wsparcie i limity – wszystko w jednym miejscu.
- Bezpieczeństwo i zgodność ISO/IEC 27001 certyfikowane, własna infrastruktura UE.
- SLA 99,9% Dostępność w każdym kalendarzowym miesiącu, gwarantowana umownie.
- Przetwarzanie danych w imieniu klienta (DPA) Umowa powierzenia przetwarzania danych na podstawie art. 28 RODO.
- Brak podmiotów podprzetwarzających Jeden dostawca dla silnika, przechowywania i przetwarzania.
- Wsparcie techniczne Bezpośredni kontakt z zespołem wsparcia, poprzez zgłoszenie.
- Limity szybkości i nagłówki Dokumentowane minimalne wartości na token, nagłówki limitu szybkości w każdej odpowiedzi.
- Ceny i Credits Przejrzyste ceny Credits za wywołanie.
Następny przystanek
Jak dalej
Zalecany następny krok w lejku deweloperskim i dwa odpowiednie odgałęzienia.
