Аутентификация и ключи

Bearer-токен. Каждая конечная точка.

Каждая конечная точка продукта PaperOffice-API ожидает заголовок Authorization: Bearer. Без OAuth-потока, без обновления.

Два типа токенов, четкие права доступа, документированные лимиты частоты запросов.

Создать ключ API Запустить первый вызов API

Один заголовок Нет OAuth-потока Можно отозвать в любое время

Собственная инфраструктура ЕС Ваши данные остаются в Европе.
ISO/IEC 27001 (сертифицировано) Безопасность сертифицирована.
Более 24 лет опыта Проверено временем. Стабильно. Надежно для будущего.

cURL

1curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \2  -H "Authorization: Bearer po_ut_YOUR_API_KEY" \3  -F "file_1=@invoice.pdf" \4  -F "idp_collection=invoice" \5  -F "model=basic-pro-max"

1import requests23response = requests.post(4    "https://api.paperoffice.ai/latest/job/add/workflow",5    headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"},6    files={"file_1": open("invoice.pdf", "rb")},7    data={"idp_collection": "invoice", "model": "basic-pro-max"},8)9print(response.json())

1const form = new FormData();2form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");3form.append("idp_collection", "invoice");4form.append("model", "basic-pro-max");56const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", {7  method: "POST",8  headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" },9  body: form,10});11console.log(await response.json());

Первый вызов

Установить заголовок, выбрать конвейер, отправить

Путь после /latest/job/add/ — это имя операции: обычно в формате handler___command (например, paperoffice_aiocr___generate), а для структурированного IDP — выделенный конвейер workflow.

Один заголовок
Authorization: Bearer po_ut_… — больше ничего не требуется для конечной точки продукта. poai_ и po_ut_ не отправляют заголовок Origin.
Конвейер в пути
handler___command с тремя подчеркиваниями; workflow является исключением с собственным slug. Точечная нотация отвечает на API с HTTP 400 JOB_CONFIG_INVALID.
Результат или job_id
client_wait по умолчанию имеет значение true: API поддерживает соединение и возвращает результат inline. Если временное окно недостаточно, возвращается HTTP 202 с job_id и poll_url для GET /latest/job/get/{job_id}.

Просмотр каталога API llms-full.txt для вашего IDE

Для idp_collection=invoice рекомендуется модель basic-pro-max. Фактически использованная модель возвращается в поле ответа model и может отличаться от запрошенной.

Типы токенов

Два типа токенов, четко разделенные

Оба должны быть на сервере. Они создаются, ротация и отзыв происходят в приложении в разделе Аккаунт → API.

poai_ Сервер к серверу

Ключ API

Права учетной записи, создавшей его (администратора: вся учетная запись)
Никогда не передавать в браузерный код
Заголовок Origin не требуется
Заблокировано для MCP
Может быть ограничен IP-адресами

Управление ключами API

po_ut_ Относительно пользователя

User Token

Наследует права своего пользователя
Никогда не передавать в браузерный код
Заголовок Origin не требуется
Разрешено для MCP

Создать токен пользователя

Вызовы напрямую из браузера не проходят через эти два токена, а используют Publishable Key po_pk_ — привязанный к источнику, с ограничением бюджета и частоты запросов. Посмотреть Publishable Keys

Разрешения

Что может делать User Token

User Token обладает ровно теми правами своего пользователя в этих областях, которые ему предоставлены. Отдельные области не могут быть назначены при создании; для ограничения доступа используется групповой токен (po_gt_) с правами группы пользователей.

Документы documents
Загрузка, скачивание, обработка
Workspaces workspaces
Управление папками и структурой
Задачи ИИ ai_jobs
OCR, IDP, извлечение данных
Биллинг billing
Чтение использования и баланса счета
Пользователи users
Управление членами команды
Вебхуки webhooks
Получение событий
База знаний knowledge_base
База знаний и FAQ
Агенты agents
Настройка агентов IDP
Рабочие процессы workflows
Создание автоматизаций
Соответствие требованиям compliance
Аудит, GDPR, архивирование

Лимиты скорости

Что учитывает API

Ограничение применяется на каждый токен; без Bearer — на каждый IP-адрес. Приведенные значения являются документально подтвержденными минимальными лимитами, действующими в каждом тарифном плане.

5: Запросов в секунду
30: Запросов в минуту
100: Запросов в час
500: Запросов в день

Остаточные лимиты указаны в заголовках ответа
Заголовки RateLimit-* и X-RateLimit-* каждого ответа показывают, сколько запросов еще доступно в текущем окне.
Превышение лимита: HTTP 429
Ответ API содержит статус RATE_LIMIT_EXCEEDED. Повторите запрос после времени, указанного в заголовке Retry-After.
Более высокие тарифы увеличивают лимиты
Платные тарифы находятся выше этих минимальных значений. Какой тариф какой объем охватывает, указано на странице цен.

Посмотреть тарифы и объемы

Безопасность

Что защищает ключ

Шесть механизмов, работающих в эксплуатации — каждый с проверяемым кодом состояния или местом в приложении.

Вращение и отзыв
Ключи создаются, отображаются, вращаются и отзываются в приложении по адресу Аккаунт → API. Отозванный токен отвечает HTTP 401 TOKEN_NOT_FOUND.
Срок действия и валидность
Просроченные токены возвращают HTTP 401 BEARERTOKEN_EXPIRED, ошибочные — HTTP 401 INVALID_TOKEN. Publishable Keys действительны в течение 180 дней с момента создания.
Лимиты на токен
В тарифе Free действуют ограничения частоты запросов (Rate-Limits) на каждый токен. В платных тарифах учитывается аккаунт; пока доступны Credits, ограничения частоты запросов не применяются.
Привязка источника в браузере
Publishable Keys требуют Origin из Allowlist при каждом запросе; иначе API отвечает 403 ORIGIN_HEADER_REQUIRED или DOMAIN_NOT_ALLOWED.
Отслеживание использования
Каждый оплаченный ответ содержит блок _billing; оценка по каждому вызову осуществляется через GET /latest/billing/usage-detail.
Жесткие блокировки
Вход в аккаунт, управление ключами, OAuth, администрирование партнеров, изменение платежей и взлом паролей заблокированы для браузерных ключей. Чтение продукта APIs (включая биллинг) и вебхуки разрешены. Удаление Workspace, очистка корзины и снятие Legal-Hold доступны только в приложении (403 UI_ONLY_ENDPOINT).