Směny a hodiny vaší firmy z vašeho softwaru.

Než začnete

Je to totéž API, se kterým mluví aplikace Werzeick. Všechno, co člověk v aplikaci vidí a dělá, vidí a dělá i program s jeho klíčem: jeho zakázky, jeho týden, jeho hodiny, jeho nářadí. Nic navíc a nic cizího.

Požadavky jdou na https://werzeick-dev.isc.hm/api/. Těla jsou JSON, odpovědi jsou JSON a každý klíč je ve tvaru snake_case. Jedno slovo, které je dobré znát předem: na drátě se zakázce říká gig. Cesty říkají /api/gigs, pole říkají gig_id a obrazovky říkají zakázka. Je to jedna a táž věc.

Zatím je API dostupné každému účtu Werzeick. Ke kterému tarifu bude patřit později, není rozhodnuto; na tom, co je tady popsáno, se tím nic nezmění.

Váš API klíč

Klíč se vytváří na webu, na stránce vašeho účtu, a zobrazí se přesně jednou.

1. Přihlaste se do webového klienta a otevřete stránku účtu, přes své jméno v patě menu.
2. V části „API klíče“ stiskněte „Nový API klíč“ a pojmenujte ho podle toho, k čemu slouží: „Export mezd“, „Tabule na stavbě“.
3. Klíč si zkopírujte. Začíná na wzk_ a stránka ho už nikdy znovu neukáže; v seznamu zůstanou jen jeho poslední čtyři znaky.

Posílejte ho s každým požadavkem jako bearer token:

Authorization: Bearer wzk_YOUR_KEY

Klíč je relace, která nevyprší, a patří vám, ne jedné firmě. Pokud požadavek neřekne jinak, jedná za záznam, ve kterém jste byli, když jste ho vytvořili: za firmu a roli v ní. Požadavek může jednou hlavičkou jmenovat kterýkoli jiný váš záznam; viz „Více firem“ níže.

Živých klíčů můžete mít nejvýš 20. U každého se zaznamenává, kdy byl naposledy použit, podle čehož poznáte zapomenutý klíč od používaného. Zneplatnění klíče ho zastaví okamžitě.

První požadavek

Zeptejte se API, kdo jste:

curl https://werzeick-dev.isc.hm/api/auth/me \
  -H "Authorization: Bearer wzk_YOUR_KEY"

{
  "membership": {
    "membership_id": 12,
    "org_name": "Alpha Stavby",
    "role": "worker",
    "first_name": "Petra",
    "last_name": "Nováková",
    "emergency_responses_enabled": true,
    "cancellation_emails_enabled": true
  },
  "memberships": [ … ],
  "language": "cs"
}

membership je záznam, za který klíč jedná: firma, role v ní a dvě vlastní nastavení dotyčného. memberships jsou všechny záznamy, které člověk má, každý ve stejném tvaru, a kterýkoli z nich může požadavek jmenovat.

language je jazyk, který si účet zvolil na webu, nebo null, pokud si nikdy žádný nezvolil. Týká se člověka, ne klíče.

Více firem

Kdo pracuje pro dvě firmy, nebo v jedné vede zakázky a ve druhé chodí na směny, má v memberships záznam pro každou. Jeden klíč dosáhne na všechny. Požadavek jedná vždy za jeden záznam: za vlastní záznam klíče, nebo za ten, který jmenuje hlavička X-Werzeick-Company, jako membership_id:role (12:manager), případně jen membership_id pro první roli toho členství.

Dva seznamy čtou s all=1 napříč všemi záznamy najednou: zakázky (GET /api/gigs?all=1) a směny, které potřebují manažera (GET /api/staffing/short?all=1, ve všech firmách, kde jste manažerem). Každý řádek nese company a jeho entry je to, co pošlete, abyste s tím řádkem jednali:

curl "https://werzeick-dev.isc.hm/api/gigs?all=1" \
  -H "Authorization: Bearer wzk_YOUR_KEY"

[{"id": 7, "title": "Karlín, bytový dům", …,
  "company": {"entry": "12:manager", "org_name": "Alpha Stavby", "role": "manager"}},
 {"id": 31, "title": "Hala Kladno", …,
  "company": {"entry": "40:manager", "org_name": "Beta Construction", "role": "manager"}}]

curl https://werzeick-dev.isc.hm/api/gigs/31/calendar \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "X-Werzeick-Company: 40:manager"

Záznam, který není váš, odpoví 404, stejně jako zakázka jiné firmy; ze kterého jste odešli, přestane fungovat hned při dalším požadavku. Přihlášení v aplikaci nebo na webu je jeden záznam a mění se přepnutím, takže přihlášení, které nějaký jmenuje, dostane 400. Jeden požadavek nikdy nic nedělá ve dvou firmách.

Jak API mluví

• Identifikátory jsou celá čísla a nikdy se znovu nepoužijí.
• Časové údaje jsou RFC 3339 v UTC: 2026-10-19T04:58:00Z. Poslat můžete čas s posunem; odpověď bude vždy v UTC.
• Kalendářní dny jsou data, 2026-10-19, bez času a bez zóny. Které dny zakázka běží, je otázka na datum, a API na ni nikdy neodpovídá časovým údajem.
• Peníze jsou celé číslo se čtyřmi skrytými desetinnými místy a vedle nich měna. 420 Kč za hodinu je 4200000 s "CZK". Nikdy desetinné číslo s plovoucí čárkou a nikdy předem naformátované: formátujete až na konci a nic mezi tím nedělí deseti tisíci. Měna je CZK nebo EUR a v jednom součtu se nikdy nemíchají: firma, která pracuje v obou, vidí součty dva.
• Žádná hodinová sazba je skutečný stav a je to null, nikdy nula. Směna domluvená bez sazby zaznamená hodiny a žádné peníze; earned_amount null znamená „jen hodiny“, ne neplacenou práci.
• Násobek (navýšení za SOS, výchozí 1,5×) má stejná čtyři desetinná místa: 15000 je 1,5×.

"rate_amount": 4200000,
"rate_currency": "CZK"

Chyby jsou stavový kód a řádek prostého textu, ne JSON. 400 je tělo, které server nedokázal přečíst, nebo pole, které odmítá; 401 je chybějící nebo zneplatněný klíč; 403 je platný klíč a věc, kterou dělat nesmí; 404 je věc, která pro vás neexistuje, a tak se čtou i data jiné firmy; 409 je požadavek, který byl v pořádku a dovolený, ale nešlo ho provést, protože se mezitím něco změnilo: směna se zaplnila, pozvánka propadla, odchod už byl zaznamenán. Reference u každého volání uvádí jeho kódy a zprávy, které nesou.

HTTP/1.1 409 Conflict
Content-Type: text/plain; charset=utf-8

that shift is already full

Jazyk zprávy se řídí hlavičkou Accept-Language: cs nebo en, nic jiného se nečte. Bez ní jsou zprávy anglicky. Hlavička určuje i jazyk souhrnů směn, které pro vás přehled slovy sestavuje.

Žádný požadavek nikdy nenese id firmy. V žádném těle, cestě ani dotazu není org_id a pokud ho přidáte, ignoruje se. Firma je ta, ve které klíč vznikl, nebo váš vlastní záznam, který požadavek jmenuje a o kterém server při každém požadavku ověří, že je váš. Právě to odděluje data jedné firmy od druhé a není to volitelné.

Klíč nemůže dělat to, co se týká relace nebo účtu: přepnout záznam, odhlásit se, zaregistrovat telefon pro notifikace, zvolit jazyk nebo smazat účet. Na to klíč dostane 403. Všechno, co se týká práce, bere klíč stejně jako relaci.

Týden pracovníka

Domovská obrazovka pracovníka je GET /api/dashboard: pozvánky čekající na odpověď, směny tohoto týdne, co leží dál, volné směny, které by mohl vzít, a kolik zatím vydělal tento týden a měsíc. weeks se dívá jeden až čtyři týdny dopředu, od tohoto pondělí.

curl "https://werzeick-dev.isc.hm/api/dashboard?weeks=2" \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Accept-Language: cs"

Pozvánky přicházejí seskupené po zakázkách v awaiting_you a invitation_summaries říká, co skupina každé zakázky dohromady dává: kolik směn, které dny, kolik hodin a kolik by vyneslo přijetí všech. Nic nemusíte sčítat ani vy, ani aplikace; čísla jsou serveru, v sazbě, kterou si každá pozvánka zapsala při svém vzniku.

Na pozvánku se odpovídá na jejím přiřazení:

curl -X POST https://werzeick-dev.isc.hm/api/assignments/42/respond \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"action": "accept"}'

action je accept, decline, nebo withdraw pro už přijatou práci. Odpovědí je přiřazení s novým status. Směna, jejíž místa jsou všechna obsazená, přijetí odmítne s 409 a nechá pozvánku čekat, aby šla přijmout, když se místo uvolní; přehled takovou směnu označí jako full ještě předtím, než to zkusíte.

Pozvánky jedné zakázky jde odpovědět najednou; jmenuje se zakázka, ne seznam identifikátorů. Které pozvánky jsou vaše k odpovědi, rozhodne server v tu chvíli.

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/invitations/respond \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"action": "accept"}'

Volné směny jsou v open_shifts, každá se sazbou rate_amount, kterou by tento pracovník dostal, a s taking_confirms, které říká, zda ho vzetí směny rovnou zapíše, nebo z něj udělá zájemce, ze kterých vybírá manažer. Obojí je součást nabídky. Vzetí směny posílá její identifikátor a nic víc; sazba se rozhoduje na serveru, klient ji nikdy neposílá.

Směnu, která se kryje s už přijatou prací, jde vzít zčásti. Přehled říká, co se kryje a jaký zbytek je volný (can_take_from, can_take_until); partial: true je souhlas vzít právě ten zbytek a server rozsah spočítá. Bez něj je vzetí odmítnuto.

curl -X POST https://werzeick-dev.isc.hm/api/timeslots/318/take \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"partial": true}'

Hodiny: příchod a odchod

Událost příchodu nebo odchodu je jediný požadavek navržený pro telefon bez signálu a váš software dostane tytéž záruky. Dejte každé události vlastní identifikátor v client_event_id a pošlete ji kolikrát chcete: první odeslání záznam vytvoří, každé další dostane zpět tentýž záznam. Dejte jí vlastní čas zařízení v at, i s posunem; server ho převezme, místo aby záznam orazítkoval tím, kdy dorazil.

curl -X POST https://werzeick-dev.isc.hm/api/time/clock-in \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "gig_id": 7,
    "at": "2026-10-19T06:58:00+02:00",
    "source": "manual",
    "client_event_id": "9f8c1a2b-3d4e-5f60-7182-93a4b5c6d7e8"
  }'

source je manual nebo geofence. Nic jiného do události nepatří, a především žádné souřadnice: API nemá pole pro polohu a nikdy mít nebude. Telefon pracovníka měří vzdálenost k jediné stavbě, kterou dostal, a posílá jen událost.

Pracovník může zaznamenat příchod jen na zakázku, na které má přijatou směnu. Záznam se ke směně připojí, když se jejich časy překrývají, a jinak stojí sám, což je normální, ne chyba. Hodiny se nikdy neořezávají podle směny.

curl -X POST https://werzeick-dev.isc.hm/api/time/clock-out \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"gig_id": 7, "at": "2026-10-19T15:32:00+02:00"}'

Odchod jmenuje zakázku, nebo client_event_id příchodu, když byl telefon bez signálu. Záznamy jsou pak evidencí pracovníka:

curl "https://werzeick-dev.isc.hm/api/time/entries?since=2026-10-01T00:00:00Z" \
  -H "Authorization: Bearer wzk_YOUR_KEY"

Každý záznam nese sazbu, kterou si zapsal při vzniku, a earned_amount, hodnotu dokončeného záznamu na minutu přesně. Placení po minutách má pravidlo zaokrouhlování a uplatňuje ho server, aby se vaše číslo a výplatní páska nikdy nelišily ani o korunu: číslo formátujte, nikdy ho nepočítejte znovu. Otevřený záznam má clock_out_at null a zatím nic nevydělal.

curl https://werzeick-dev.isc.hm/api/gigs/7/earnings \
  -H "Authorization: Bearer wzk_YOUR_KEY"

earned je ze záznamů času, upcoming z přijatých směn dopředu, obojí v sazbě, kterou si každý sám zapsal; running je směna právě běžící a to, kolik zatím dělá, nebo null. Minuty bez hodinové sazby se počítají vedle peněz, nikdy se nezahazují.

Pracovník opravuje svůj záznam a manažer kohokoli, přes POST /api/time/entries/{id}/correct. clock_out_at null znovu otevře záznam, který byl omylem uzavřen.

Zakázka očima manažera

Klíč vytvořený v roli manažera vidí každou živou zakázku firmy a může založit novou:

curl -X POST https://werzeick-dev.isc.hm/api/gigs \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "title": "Hala Ostrava, střecha",
    "latitude": 49.8356,
    "longitude": 18.2851,
    "geofence_radius_m": 150
  }'

Stavba je nepovinná a je to poloha stavby, nikdy člověka. client_id jmenuje jednoho z klientů firmy z webového klienta. Manažer také zve lidi do firmy, e-mailem; adresa, která už účet Werzeick má, získá členství, a adresa, která ho nemá, se účtem stane.

curl -X POST https://werzeick-dev.isc.hm/api/invitations \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "email": "jana@example.cz",
    "first_name": "Jana",
    "last_name": "Horáková",
    "is_worker": true,
    "is_manager": false,
    "rate_amount": 4200000,
    "rate_currency": "CZK"
  }'

Sazba je nepovinná a je výchozí sazbou dotyčného v této firmě. Vlastní sazba zakázky má přednost, pokud je nastavená, a každá směna si zapíše částku, za kterou byla nabídnuta: pozdější změna kterékoli sazby nehne ničím, co už bylo slíbeno.

Kalendář zakázky se plánuje pokládáním směn na dny. Jeden požadavek položí tutéž směnu na každý z uvedených dnů i s rolemi: každá role má vlastní místa a, pokud ji nastavíte, vlastní hodinovou sazbu. Časy jsou časy na stavbě a den, který v kalendáři ještě není, směna naplánuje.

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/shifts \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "days": ["2026-11-02", "2026-11-03", "2026-11-04"],
    "starts_at": "07:00",
    "ends_at": "15:30",
    "roles": [
      {"label": "crane op", "headcount": 1, "rate_amount": 5200000, "rate_currency": "CZK"},
      {"label": "labourer", "headcount": 2}
    ]
  }'

Obsazuje se po rolích. Pozvánka jmenuje člověka z GET /api/people a roli z roles směny; je pending, dokud ji dotyčný nepřijme, a do té doby nic neobsazuje. GET /api/gigs/{id}/calendar ukáže dny se směnami a počty; GET /api/timeslots/{id} jednu směnu se všemi, kdo na ní jsou; GET /api/gigs/{id}/people všechny na nadcházejících směnách zakázky. Více lidí na více směn pozve jeden požadavek POST /api/gigs/{id}/invitations/batch, který na požádání napřed ukáže, co by udělal.

curl -X POST https://werzeick-dev.isc.hm/api/timeslots/318/invitations \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"membership_id": 12, "role_id": 41}'

Co potřebuje pozornost, říká GET /api/staffing/short: každá nadcházející směna, kde chybí přijatí lidé nebo se čeká na odpověď. SOS na neobsazené směně ji otevře firmě za zvýšenou sazbu, výchozí je 1,5×, a řekne to všem, kdo si zapnuli nouzové směny; POST /api/gigs/{id}/sos to udělá naráz pro každou neobsazenou směnu zakázky.

curl "https://werzeick-dev.isc.hm/api/staffing/short?days=3" \
  -H "Authorization: Bearer wzk_YOUR_KEY"

curl -X POST https://werzeick-dev.isc.hm/api/timeslots/318/sos \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"offered_rate_multiplier": 15000}'

Odebrání dnů nebo směny, sundání někoho ze směny nebo z celé zakázky a posun směn na jiné dny se dotčeným lidem oznámí, a tak se každé napřed zeptá: bez confirm se nic nezmění a odpověď řekne, co by se stalo. Pošlete to znovu s confirm a provede se to.

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/days/remove \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"days": ["2026-11-04"]}'

{"confirmed": false, "days": 1, "people": 3, "cancelled": 0}

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/days/remove \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"days": ["2026-11-04"], "confirm": true}'

{"confirmed": true, "days": 1, "people": 0, "cancelled": 3}

Hodiny zakázky jsou GET /api/gigs/{id}/hours, každý záznam za sazbu, za kterou byl sjednán. Klienti jsou GET a POST /api/clients. Sazba zakázky, její strop a fakturační sazba, mzdy, fakturace a přehledy zůstávají ve webovém klientovi a API nemají.

Asistent: server MCP

Totéž API je i server MCP na adrese https://werzeick-dev.isc.hm/api/mcp, pro asistenta s umělou inteligencí, který mluví protokolem Model Context Protocol: Claude Code, Claude Desktop, Cursor a další. Každý nástroj, který nabízí, je jeden z koncových bodů výše, volaný vaším klíčem; asistent nedokáže nic, co by váš klíč nedokázal přes curl, a odmítnutí je odmítnutím API.

claude mcp add --transport http werzeick https://werzeick-dev.isc.hm/api/mcp \
  --header "Authorization: Bearer wzk_YOUR_KEY"

{
  "mcpServers": {
    "werzeick": {
      "type": "http",
      "url": "https://werzeick-dev.isc.hm/api/mcp",
      "headers": {"Authorization": "Bearer wzk_YOUR_KEY"}
    }
  }
}

Nástroje jsou manažerovy: zakázky, kalendář a lidé zakázky, přidávání a posun směn, pozvání, schválení, sundání, otevření směny, vyhlášení SOS, seznam lidí, klienti a hodiny zakázky. Každý nástroj, který ruší nebo posouvá práci, kterou lidé přijali, se napřed zeptá, stejně jako koncový bod: asistent se dozví, co by se stalo, a zavolá znovu s confirm. Pověřením je klíč, posílaný v hlavičce, nebo token konektoru udělený při přihlášení (další oddíl); server mluví streamable HTTP bez stavu a odpovídá prostým JSON.

Každý nástroj bere company, záznam, za který jednat, se stejnými hodnotami jako hlavička; bez něj jedná za vlastní záznam klíče. list_projects a short_shifts berou i all. Asistent, kterého se zeptáte na všechny vaše stavby, tak přečte všechny vaše firmy a v každém volání jedná v jedné z nich.

Klíč vytvořený v roli pracovníka se připojí, ale manažerovy nástroje ho odmítnou, pokud volání nejmenuje některý z vašich manažerských záznamů. Vlastní koncové body pracovníka, odpovědi na pozvánky, vzetí směny, příchod a odchod, se jako nástroje nenabízejí.

Připojení z claude.ai

Aplikace claude.ai, Claude Desktop, mobilní aplikace Claude a další asistenti, kteří berou vlastní konektor, klíč poslat neumějí: místo toho vás pošlou přihlásit se a pak jednají za vás. Werzeick je přesně pro to autorizačním serverem OAuth 2.1, takže se na žádné straně nic nenastavuje ručně.

1. V claude.ai otevřete Settings → Connectors → Add custom connector a vložte tuto adresu:

https://werzeick-dev.isc.hm/api/mcp

1. Stiskněte Connect. Asistent se u aplikace Werzeick zaregistruje a otevře v prohlížeči její přihlášení.
2. Přihlaste se e-mailem a kódem, který vám přijde, jako na webu.
3. Na obrazovce se souhlasem zkontrolujte jméno asistenta a adresu, na kterou vás pošle zpět, zvolte firmu a roli, za kterou bude jednat, a stiskněte Povolit.
4. Vrátíte se do asistenta, který teď může volat tytéž nástroje jako klíč, za tu firmu a roli.

Konektor jedná za firmu a roli, kterou jste zvolili, pokud volání nejmenuje přes company jinou z vašich, jako klíč. Na stránce vašeho účtu je v oddílu Připojení asistenti, se jménem programu a datem posledního použití, a tam se také ruší, jako klíč: zrušení ho okamžitě ukončí a asistent vás požádá o nové připojení. Smazání účtu ukončí všechny konektory.

Pod povrchem je to standardní postup, který předepisuje Model Context Protocol, a použít ho může kterýkoli klient, který ho implementuje: 401 z koncového bodu MCP jmenuje metadata zdroje; metadata autorizačního serveru vypisují koncové body; klient se zaregistruje dynamickou registrací (RFC 7591); autorizační kód je svázaný přes PKCE (jen S256) a resource koncového bodu MCP; tokenový koncový bod vydá přístupový token na hodinu a obnovovací token, obměňovaný při každém použití a platný do zrušení konektoru. Přijímají se jen adresy https a loopback, a o souhlas se žádá při každé registraci.

GET https://werzeick-dev.isc.hm/api/mcp
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer resource_metadata="https://werzeick-dev.isc.hm/.well-known/oauth-protected-resource/api/mcp"

GET https://werzeick-dev.isc.hm/.well-known/oauth-protected-resource/api/mcp
GET https://werzeick-dev.isc.hm/.well-known/oauth-authorization-server
POST https://werzeick-dev.isc.hm/oauth/register
GET  https://werzeick-dev.isc.hm/oauth/authorize?response_type=code&client_id=…&redirect_uri=…&code_challenge=…&code_challenge_method=S256&resource=https://werzeick-dev.isc.hm/api/mcp
POST https://werzeick-dev.isc.hm/oauth/token

Claude Code a klienti, kteří berou URL a hlavičku, mohou dál používat klíč, jak ukazuje předchozí oddíl; obě pověření otevírají přesně tytéž nástroje. Client ID metadata documents zatím podporovány nejsou: klient, který je preferuje, přejde na registraci, jako to dělá claude.ai.

Nářadí a výdaje

Pracovník si vede seznam nářadí a bere ho na zakázky, aby to, co má do dodávky, bylo u zakázky, a ne v jeho paměti. Ikona je jméno z GET /api/tool-icons, na které není potřeba klíč.

curl -X POST https://werzeick-dev.isc.hm/api/tools \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"name": "SDS drill", "icon": "drill", "quantity": 1}'

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/tools \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"tool_id": 12}'

Připojení je idempotentní: připojit dvakrát odpoví dvakrát 204. Odpojení nechá nářadí v seznamu.

Výdaj se zapisuje na jednu zakázku a zapisuje ho ten, kdo věc koupil, pracovník nebo manažer. Pracovník vidí jen výdaje, které zapsal sám; manažer všechny na zakázkách firmy.

curl -X POST https://werzeick-dev.isc.hm/api/gigs/7/expenses \
  -H "Authorization: Bearer wzk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "Drill bits", "cost_amount": 1250000, "cost_currency": "CZK"}'

Bezpečnost klíče

• Klíč je přihlašovací údaj. Posílejte ho jen v hlavičce, nikdy v URL, a nikdy ho nedávejte do stránky, kterou načítá prohlížeč: na webové stránce klíč není žádným přihlášením, takže se tam nedá použít, ale dá se tam přečíst.
• Vytvořte jeden klíč na jedno napojení a pojmenujte ho podle něj, aby zneplatnění jednoho klíče zastavilo jednu věc.
• Občas se podívejte na „Naposledy použit“. Klíč, který nikdo měsíce nepoužil, je klíč ke zneplatnění.
• Klíč patří člověku, stejně jako jeho relace. Když odejde z firmy nebo přijde o roli, jeho klíče skončí s ním.
• Jen přes HTTPS. Na prostý HTTP server neodpovídá.