Как устроено демо

Два режима

Без токена сайт работает на песочнице: это сервер API в памяти из @itd-api/testing. Она своя у каждого посетителя, живёт полчаса после последнего действия и исчезает вместе со всем, что в ней написали.

Со своим access token те же самые страницы ходят в настоящий API итд.com. Код роутов при этом один и тот же — меняется только клиент.

Что демо делает с вашими данными

• Токен хранится на сервере демо и в браузер не возвращается.
• В браузере лежит только cookie с идентификатором сессии — httpOnly и подписанная.
• Запись с токенами живёт сутки с последнего обращения, «Забыть токен» стирает её сразу. Сессию на итд.com это не закрывает.
• Тела запросов и токены не логируются; в журнале вызовов операции авторизации не показываются.
• Данные вашего аккаунта видите только вы: клиенты и кэш разделены по сессиям.

Чего здесь нет

• Входа по email и паролю, кода из письма и QR: публичный сайт не должен принимать чужие учётные данные, а капча требует запустить браузер на сервере. В самом SDK эти способы есть — см. руководство по авторизации.
• Оплаты и оформления заказов в магазине — только витрина.

Ограничения платформы

• Частота запросов ограничена по IP. Все посетители демо приходят с одного адреса, поэтому библиотека разводит их запросы общей очередью, а ответы читающих методов кэширует на полминуты.