• バージョン： 1.0.0
• サーバー：https://login.xsolla.com/api
• プロトコル：https
• 承認：application / json
• 応答：application / json
• メールでお問い合わせください
• 連絡先URL： https://xsolla.com/

このセクションでは、ログイン を操作するための API 呼び出しについて説明します。リクエストを送信する前に、パブリッシャー アカウント でログイン プロジェクトを セットアップ してください。

The full list of IP addresses that login.xsolla.com may use:

• 34.94.0.85
• 34.94.14.95
• 34.94.25.33
• 34.94.115.185
• 34.94.154.26
• 34.94.173.132
• 34.102.48.30
• 35.235.99.248
• 35.236.32.131
• 35.236.35.100
• 35.236.117.164

API定義を2つの形式でダウンロードできます：

• YAML
• JSON

アドミンページでは、次のログインプロジェクトタイプにアクセスできます：

• 標準ログインプロジェクト
• シャドウログインプロジェクト

詳細については、クロスプラットフォームアカウント機能を参照してください。

Are the restrictions applied by Xsolla API on the frequency of access by a user within a defined timeframe.

メインアカウントを保存するために使用されるログインプロジェクトです。

プラットフォームアカウントを保存するために使用されるログインプロジェクトです。

標準ログインプロジェクトで作成され、プラットフォームアカウントにリンクされているアカウントタイプです。メインアカウントは、異なるプラットフォームでプレーヤーを識 別するために使用されます。

シャドウログインプロジェクトで作成され、確定したパブリッシングプラットフォームに接続されるアカウントタイプです。プラットフォームアカウントは、他のプラットフォー ムアカウントとリンクすることはできません。また、メインアカウントからアカウントのリンクを解除することもできません。

ゲームの配布に使用されるゲームプラットフォームです（Steam、PlayStation、Xboxなど）。

Login APIは、以下のトークンタイプをサポートしています：

• ユーザートークン。これは、以下のユーザーリソースにリクエストを送信するために使用されます：
  • プロフィール
  • 友達
  • 属性
• サーバートークン。設定やユーザーデータなど、アプリケーションリソースへのリクエストを送信するために使用されます。以下のリクエストが利用可能です：
  • プラットフォームアカウントを作成する
  • ユーザーデータを取得する
  • アカウントをリンクする
  • external ID経由でユーザーIDをリンクする

認証スキームによって、APIコールがクライアント側かサーバー側かを判断できます：

• Client-side — are called without authentication or with the Authorization header: Bearer <user_JWT> header, where <user_JWT> — is the user token.
• Server-side API calls for implementing the user flow — are called with the header: X-SERVER-AUTHORIZATION: <server_JWT>, where <server_JWT> — is the server token.

トークンを取得するには、次のいずれかのリクエストを送信します：

• ユーザー登録（JWTまたはOAuth 2.0）
• ユーザー名とパスワード経由の認証（JWT、OAuth 2.0、またはユーザー名とパスワード経由のJWT認証）
• ソーシャルネットワーク経由の認証（JWTまたはOAuth 2.0）
• サイレント認証（JWTまたはOAuth 2.0）
• ソーシャルネットワークアクセストークン経由の認証
• パブリッシングプラットフォーム経由の認証

JWT認証後、ユーザーはクエリパラメータにトークンを含むコールバックURLにリダイレクトされます：<Callback URL>?token=<User token (JWT)>。

OAuth 2.0プロトコルベースの認証後、JWTを生成するリクエストをエクソーラログインサーバーに送信して、受信したcodeパラメータをユーザートークン（access_token）と交換します。

サーバートークンを取得するには：

1. サーバーOAuth 2.0クライアントをセットアップする。
2. サーバーJWTを生成する。

サーバーOAuth 2.0クライアントをセットアップする

1. パブリッシャーアカウントでプロジェクトを開き、ログインセクションに移動します。
2. ログインプロジェクトのパネルで構成をクリックします。
3. セキュリティブロックに移動し、OAuth 2.0セクションを選択します。
4. Click Add OAuth 2.0 Client.
5. **サーバー (server-to-server connection)**ボックスのチェックを入れます。
6. トークンの有効期間を指定します。
7. 接続をクリックします。
8. クライアントIDと秘密キーをコピーして保存します。

サーバーJWTを生成

アプリケーションのバックエンドで、JWT APIを生成するコールを使用してサーバーJWTを取得するメソッドを実装します。リクエストには次のパラメータが含まれている必要があります。

• grant_type is the type of getting JWT, pass the client_credentials value.
• client_secret is the secret key that is received when you set up the server OAuth 2.0 client.
• client_id is the client ID received when you set up the server OAuth 2.0 client.

To prevent Xsolla system overloads and protect against sudden spikes in incoming traffic, Xsolla limits the number of requests received by the Xsolla API within a specified period of time. If the limit is exceeded, the Xsolla API returns an HTTP response with the 429 status code.

Rate limits vary by method, IP-address, authentication scheme, and other factors.

Rate limits for server-side methods are applied to methods with server-side authentication — methods that are called with the X-SERVER-AUTHORIZATION: <server_JWT> header, where <server_JWT> is the server token.

Rate limits for client-side methods are applied to methods without authentication or with client-side authentication — methods that are called with the Authorization: Bearer <user_JWT> header, where <user_JWT> is the user token.

Example of a method with server-side authentication: Example of a method with client-side authentication:

Rate limits for client-side methods do not change and are necessary to prevent brute-force attacks. The maximum request rate for server-side methods is higher than for client-side methods. You can refer to the recommendations on how to manage rate limits in the documentation.

すべてのトークンにはJWTフォーマットがあり、ペイロードに明確な情報が含まれています。

ユーザーJWTは、認証または登録の結果として受け取ったトークンです。トークンのペイロードには、ユーザーと認証のコールに関する情報が含まれています。

OAuth 2.0プロトコルでユーザートークンを取得するには、OAuth 2.0クライアントが必要です。ユーザートークンは、Authorization: Bearer <JWT>ヘッダで渡されます。

トークンには、認証またはメールアドレス確認後の主な要求が含まれます。これらの要求の有無は、ユーザーデータベースや認証コールに依存しません。

PlayFabストレージを使用する場合、認証後にトークンに含まれる要求。

カスタムストレージを使用する場合、認証後にトークンに含まれる要求。

ソーシャルネットワーク経由の認証後、トークンに含まれる要求。これらの要求の存在は、ユーザーデータベースに依存しません。

OAuth 2.0認証後のトークンに含まれる要求。

電話番号経由の認証後、トークンに含まれる要求。

サーバートークンは、X-SERVER-AUTHORIZATIONヘッダーで渡されます。

トークンのペイロードには、OAuth 2.0クライアントが所有するリソースに関する情報が含まれています。トークンは、これらのリソースに対するサーバーベースの認証によるコールにアクセスできます。

認証に成功すると、すべてのユーザーに対してJWTが生成されます。生成されたJWTは秘密鍵で署名されていま す。JWTが適切であり、ログインプロジェクトのユーザーに属していることを確認するために、その値を検証する必要があります。

JWTを検証するには：

1. パブリッシャーアカウントでプロジェクトを開き、ログインセクションに移動します。
2. ログインオプションのパネルで 構成をクリックします。
3. ナビゲーションページで、セキュリティブロックに移動し、JWT 署名セクションを選択します。
4. 暗号化方式を選択し、選択した方式に応じて秘密キーまたは新しい公開 JSON ウェブキーフィールドの値をコピーします。
5. ライブラリを選択し、アプリケーションのサーバー側に接続します。
6. ステップ4でコピーした値を検証関数のエントリに渡します。

エラー応答の場合、エクソーラログインサーバーは以下のフィールドを持つJSONオブジェクトを返します：

{
  "error": {
    "code": "000-000",
    "description": "description"
  }
}