OAuth 2.0 авторизация

Lamoda использует OAuth 2.0 с типом гранта client_credentials. Для доступа к API необходимо получить токен и передавать его в заголовке каждого запроса.

Получение учётных данных (credentials)

Для авторизации в API необходимы ключи client_id и client_secret. Эти данные предоставляются вашим менеджером (KAM) при подключении к платформе.

Важно: Один набор client_id / client_secret работает для обоих API (Lamoda Seller Partner API и Lamoda B2B Platform Partner API). Храните client_secret в безопасном месте и не передавайте третьим лицам.

Endpoints авторизации

Время жизни токена (TTL): 15 минут (900 секунд) для обоих API.

Получение токена: Lamoda Lamoda Seller Partner API

Запрос

curl -X POST 'https://public-api-seller.lamoda.ru/jsonrpc/v1/tokens.create' \
  -H 'Content-Type: application/json' \
  -d '{
    "jsonrpc": "2.0",
    "id": "550e8400-e29b-41d4-a716-446655440000",
    "method": "v1.tokens.create",
    "params": {
      "client_id": "YOUR_CLIENT_ID",
      "client_secret": "YOUR_CLIENT_SECRET",
      "grant_type": "client_credentials"
    }
}'

Параметры запроса

Успешный ответ (HTTP 200)

{
  "jsonrpc": "2.0",
  "id": "550e8400-e29b-41d4-a716-446655440000",
  "result": {
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9...",
    "expires_in": 900,
    "token_type": "bearer",
    "scope": "partner_client r_orders c_order u_order r_nomenclatures ..."
  }
}

Поля ответа

Получение токена: Lamoda B2B Platform Partner API (REST)

Запрос

curl -X POST 'https://api-b2b.lamoda.ru/auth/token' \
  -H 'Content-Type: application/json' \
  -d '{
    "client_id": "YOUR_CLIENT_ID",
    "client_secret": "YOUR_CLIENT_SECRET",
    "grant_type": "client_credentials"
}'

Параметры запроса

Успешный ответ (HTTP 200)

{
  "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "expires_in": 900,
  "token_type": "Bearer",
  "scope": "partner_client r_orders c_order ..."
}

Поля ответа

Использование токена

Передавайте токен в заголовке Authorization с префиксом Bearer:

curl -X GET 'https://api-b2b.lamoda.ru/api/v1/orders' \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIs...'

Важно: Между словом Bearer и токеном должен быть ровно один пробел. Не используйте кавычки вокруг токена.

Права доступа (scopes)

Поле scope в ответе содержит список прав, доступных вашему токену. Основные права:

Если в ответе отсутствует нужный scope, обратитесь к вашему менеджеру для расширения прав доступа.

Время жизни токена (TTL)

TTL токена = 900 секунд = 15 минут.

Токен необходимо обновлять до истечения срока действия. Рекомендуемые стратегии:

Вариант 1: Проактивное обновление (рекомендуется)

Обновляйте токен за 1-2 минуты до истечения:

import time
import requests

class LamodaAPI:
    def __init__(self, client_id, client_secret, base_url):
        self.client_id = client_id
        self.client_secret = client_secret
        self.base_url = base_url
        self.token = None
        self.token_expires_at = 0
    
    def get_token(self):
        # Обновляем токен за 60 секунд до истечения
        if self.token and time.time() < self.token_expires_at - 60:
            return self.token
        
        response = requests.post(
            f"{self.base_url}/auth/token",
            json={
                "client_id": self.client_id,
                "client_secret": self.client_secret,
                "grant_type": "client_credentials"
            }
        )
        data = response.json()
        
        self.token = data["access_token"]
        self.token_expires_at = time.time() + data["expires_in"]
        
        return self.token
    
    def request(self, method, endpoint, **kwargs):
        headers = kwargs.pop("headers", {})
        headers["Authorization"] = f"Bearer {self.get_token()}"
        
        return requests.request(
            method,
            f"{self.base_url}{endpoint}",
            headers=headers,
            **kwargs
        )

Вариант 2: Реактивное обновление

При получении 401 Unauthorized — запросите новый токен и повторите запрос:

def request_with_retry(api, method, endpoint, data=None):
    try:
        return api.request(method, endpoint, json=data)
    except requests.HTTPError as e:
        if e.response.status_code == 401:
            # Сбрасываем токен и пробуем снова
            api.token = None
            return api.request(method, endpoint, json=data)
        raise

Ошибки авторизации

Полный список ошибок: Справочник кодов ошибок

Частые проблемы

"Партнер не найден" (код 50400)

Возможные причины:

• Неверный client_id или client_secret
• Партнёр не активирован в системе

Решение: Уточните учётные данные (credentials) у вашего менеджера.

Токен перестаёт работать через 15 минут

Это нормальное поведение. TTL токена = 900 секунд = 15 минут. Реализуйте автоматическое обновление токена (см. примеры выше).

Отсутствие пробела после Bearer

Неправильно: Authorization: BearereyJhbGci...

Правильно: Authorization: Bearer eyJhbGci...

См. также

• Точки входа (endpoints)
• Справочник кодов ошибок
• Лучшие практики