QrX Connect: uw platform koppelen met OAuth

Met QrX Connect kan een webwinkel het eigen QrX-kanaal aan uw systeem koppelen (bijvoorbeeld een commerce-app, WMS of maatwerkwinkel) zonder een API-sleutel te kopiëren en te plakken. De webwinkel logt in bij QrX, kiest een kanaal en klikt op Allow (Toestaan), en uw server ontvangt de API-sleutel van dat kanaal. Daarna roept u dezelfde QrX Public API aan als elke andere integratie van een webwinkel. De QrX Shopify-app gebruikt QrX Connect.

Wat u van QrX nodig hebt

Een client id voor uw integratie. Elke integratie krijgt een eigen client id.
Uw callback-URL op uw eigen systeem, alleen HTTPS, geregistreerd bij die client. Nadat de webwinkel op Allow heeft geklikt, stuurt QrX door naar die URL.

Vraag een client id aan via qrx.eu/api of door contact op te nemen met QrX support.

Hoe het werkt

Open de QrX-login. Stuur de webwinkel naar https://portal.qr-x.app/oauth/authorize met uw client id, uw callback-URL, een willekeurige state-waarde en een PKCE-challenge (S256).
De webwinkel kiest een kanaal en klikt op Allow. QrX stuurt door naar uw callback-URL met een code en dezelfde state. Controleer of de state overeenkomt.
Uw server wisselt de code in. Stuur POST https://api.qr-x.net/api/v1/oauth/token als formuliergegevens met grant_type=authorization_code, client_id, code, redirect_uri (dezelfde callback) en code_verifier. Het antwoord bevat de merchantChannelApiKey van het kanaal.
Roep de API aan. Wissel die sleutel in voor een toegangstoken met POST /api/v1/auth/token, precies zoals bij een directe integratie.

De autorisatiecode kan één keer worden gebruikt. Een ongeldige of verlopen code geeft HTTP 400 met invalid_grant; start de flow dan opnieuw.

Wat de koppeling kan doen

Alleen wat een normale API-sleutel van een webwinkel voor dat ene kanaal kan doen: Payment on Delivery-zendingen aanmaken, labels aanmaken en betaal- en trackingstatus uitlezen. De koppeling kan geen facturatie of gebruikers wijzigen, geen andere kanalen zien en de goedkeuring van het QrX-account niet overslaan. De betaling aan de deur door de consument blijft altijd op go.qr-x.app.

Beveiligingstips

Bewaar de ontvangen API-sleutel alleen op uw server, versleuteld, en nooit in een browser of app.
Zet geen geheimen in de callback-URL en geef de code niet door aan een andere origin.
Vermoedt u dat een sleutel is uitgelekt, stop dan met het gebruik ervan en neem samen met de webwinkel contact op met QrX support.

Wanneer neemt u contact op met ons supportteam

Neem contact op met QrX support via [email protected] om een client id of callback-URL aan te vragen of te wijzigen, of wanneer het inwisselen van het token steeds mislukt met een geldige code.