Как получить доступ/документировать частный API, защищенный HMAC, для интеграции промежуточного программного обеспечения ⇐ Python

[Anonymous]

Мы работаем над проектом интеграции Odoo SaaS, в котором внешней службе промежуточного программного обеспечения необходимо получать заказы со сторонней платформы электронной коммерции под названием PipesSpace.
Конечная точка API, указанная в документе FSD:

Код: Выделить всё

https://www.pipesspace.com/adminapi/odoo/v1/financeOrder

При прямом доступе к конечной точке мы получаем:

Код: Выделить всё

{
"code": 401,
"message": "Request error, please try again later!",
"data": null
}

В соответствии с технической спецификацией API использует аутентификацию HMAC-SHA256 с такими заголовками, как:

Код: Выделить всё

X-Odoo-Key
X-Odoo-Timestamp
X-Odoo-Nonce
X-Odoo-Signature

Архитектура интеграции:

Код: Выделить всё

PipesSpace API
↓
Middleware Scheduler
↓
Authentication
↓
Fetch Orders
↓
Normalize Data
↓
Duplicate Check
↓
Odoo SaaS

Проблема:

• Отсутствует общедоступная документация по API.
• Коллекция Swagger/OpenAPI/Postman не найдена.
• Вкладка «Сеть браузера» предоставляет только интерфейсные API, а не защищенный API интеграции.
• В настоящее время у нас нет учетных данных API или примеров полезной нагрузки.

Вопросы:

• Это нормально, когда корпоративные/частные интеграции полностью скрывают публично документацию API?
• Существует ли какой-либо надежный способ проверки/обнаружения внутренних структур API без официальных учетных данных?
  />
• Является ли получение официальной документации API и учетных данных от поставщика единственным практическим подходом для API, защищенных HMAC?
• Есть ли рекомендации по проверке таких интеграций на этапе исследований и разработок до предоставления доступа поставщику?

Tech Stack:

• Odoo 19 SaaS
• Промежуточное ПО Python FastAPI
• APScheduler
• XML-RPC / JSON-RPC
• Аутентификация HMAC-SHA256