D1 · Developer flow — API Keys & gọi REST API

🛠 Dành cho IT / Lập trình viên

Trang flow này dành cho bộ phận IT trong doanh nghiệp tích hợp CNV Work với hệ thống nội bộ. Người dùng cuối có thể bỏ qua.

CNV Work mở REST API cho developer tự tích hợp. Mỗi workspace có thể tạo nhiều API key với scope phân biệt (read-only / read-write / scoped theo module).

URL API: https://api.cnvwork.com/api/v1

D1.1 · Tạo & quản lý API key

🟠 Quy tắc nghiệp vụ. Plaintext key chỉ hiện 1 lần khi tạo — đóng modal là mất, phải tạo key mới. Hệ thống chỉ lưu hash (bcrypt), không thể "show again". Best practice: copy ngay vào secrets manager (1Password, AWS Secrets Manager).

D1.2 · Gọi REST API + authentication

🟠 Quy tắc nghiệp vụ. Mọi request API key đều log audit (key_id, IP, endpoint, status, timestamp). Audit log retention 90 ngày (Free), 1 năm (Pro), 3 năm (Business). Rate limit reset mỗi giờ trượt.

D1.3 · Rotate & revoke key

🟠 Quy tắc nghiệp vụ. Rotate khuyến nghị mỗi 90 ngày (có nút "Rotate now" + reminder). Revoke ngay khi nghi ngờ leak (vd: commit nhầm GitHub) — grace period chỉ áp dụng cho rotate, không cho revoke.

D1.4 · Bảng scope chi tiết

Scope	Bao gồm	Use case
read	GET tất cả endpoint	Báo cáo, dashboard ngoài, BI tool
write	POST/PATCH/DELETE	Sync 2 chiều với ERP, đồng bộ Haravan
crm.*	GET/POST/PATCH /leads, /contacts, /deals, /companies	Tích hợp CRM-only
inbox.*	Read/send message, manage channels	Bot trả lời, gateway tin nhắn
hr.*	Employee, attendance, leave	Sync chấm công với máy chấm công
tasks.*	Tasks CRUD	Sync với Jira, Asana
admin	Tạo/sửa user, role, workspace setting	Auto-provision (SCIM)

🟠 Quy tắc nghiệp vụ. Scope là least-privilege — chọn scope hẹp nhất phù hợp use case. Key admin tạo bởi user role Admin/Owner trong UI, không phải tự tăng scope qua API.