# Аутентификация

Каждый запрос, кроме /health/api, подписывается ключом клиента в заголовке X-Entity-Key.

Ключ выдаём мы при подключении. У нас хранится только его хэш (SHA-256), поэтому восстановить потерянный ключ нельзя — только выпустить новый.

```bash
curl https://merchant.dbdlobby.com/products \
  -H "X-Entity-Key: YOUR_ENTITY_KEY"
```

> [!WARNING]
> API рассчитан на вызовы с вашего сервера. Не встраивайте ключ в браузерный или мобильный код: с ним можно тратить ваш баланс.

## Ошибки авторизации

| Код | message | Причина |
|---|---|---|
| 401 | `Missing X-Entity-Key header` | Заголовка нет или он пустой. |
| 401 | `Invalid X-Entity-Key header` | Значение длиннее 128 символов. |
| 403 | `Invalid entity key` | Такого ключа нет. |
| 403 | `API access disabled for this client` | Доступ к API для клиента отключён. Свяжитесь с нами. |

Песочница (`/sandbox/*`) принимает тот же ключ: отдельный тестовый ключ не нужен.