重要声明
本 API 使用与开发者条款("API 条款")规范对 Nextkt 合作伙伴 API、API 凭证、Webhook、沙盒、开发者工具、文档及相关集成服务的访问和使用。
本 API 条款主要适用于对合作伙伴 API 的使用,并额外适用于根据其他安排获得 API 凭证的任何合作伙伴。
本 API 条款已纳入 Nextkt 合作伙伴条款与条件("合作伙伴条款")。合作伙伴条款仍为主商业协议。本 API 条款应与合作伙伴条款以及本平台的以下文件一并阅读:
- 一般条款与条件;
- 隐私政策;
- Cookie 政策;
- 退款政策;
- 门票销售与购买政策;
- 会员积分计划条款与条件;
- 支付处理条款;
- 合作伙伴条款与条件;
- 主办方协议(如适用);
- 特定活动条款;
- 任何数据处理协议;
- 任何订购单、商业附表、结算附表或已签署的合作伙伴协议;
- 支付服务提供商条款,包括适用的卡组织、电子钱包、银行转账及支付体系规则。
如本 API 条款与合作伙伴条款存在冲突:
- 在付款、退款、拒付、财务责任、赔偿、合作伙伴责任、结算及商业风险方面,以合作伙伴条款为准;
- 在 API 技术使用规则、凭证、速率限制、安全、集成行为及开发者义务方面,以本 API 条款为准。
合作伙伴除非同意合作伙伴条款和本 API 条款,否则不得访问或使用合作伙伴 API。
本 API 仅供与合作伙伴自身已获批准的组织进行正当集成之用。它不是公共数据提取服务、支付绕行手段、通用转售平台,也不是访问其他组织数据的途径。
目录
- 定义
- 资格及合作伙伴条款的纳入
- API 访问模式
- 应用、凭证及组织范围
- 沙盒与正式环境
- 身份验证与凭证处理
- 权限范围与最小权限
- 授权来源与重定向 URI
- 允许的使用
- 禁止的使用
- 禁止跨租户访问
- 安全要求
- 密钥存储与浏览器限制
- Webhook
- 幂等性与交易安全
- 速率限制、流量控制与滥用防控
- 自动化流量与机器人
- API 可用性
- API 变更与弃用
- 文档与示例
- API 返回的数据
- 缓存与本地存储
- 个人数据
- 支付与结账集成
- 买家身份验证与会话
- 库存完整性与超售防护
- 错误处理与重试行为
- 日志记录、监控与可审计性
- 安全事件
- 漏洞研究与测试
- 恶意软件与有害代码
- 逆向工程与规避
- 竞争性滥用与数据收割
- 转售、再许可与服务代理
- 第三方开发者与承包商
- 开源代码与客户端代码
- 开发者陈述与保证
- Nextkt 的监控
- 紧急限制
- 暂停与撤销
- 费用
- 知识产权
- 反馈
- 保密
- 赔偿
- 免责声明
- 责任限制
- 终止
- 终止的效力
- 适用法律
- 联系方式
1. 定义
"API" 或 "合作伙伴 API" 指 Nextkt 面向合作伙伴的 API,主要通过 partners.nextkt.com 提供,连同经批准的相关接口。
"API 凭证" 指 Nextkt 签发的任何 API 密钥、令牌、保密信息、客户端凭证、签名密钥、Webhook 密钥或其他身份验证材料。
"应用" 指与经批准的组织相关联的已注册合作伙伴集成。
"开发者" 指合作伙伴以及开发或运营集成的任何员工、承包商或授权人员。
"文档" 指 Nextkt 发布的技术资料,包括开发者指南、OpenAPI 规范、示例及变更日志资料。
"正式模式" 指经批准的生产环境,可在其中处理真实买家、真实交易和真实门票。
"沙盒" 指用于非生产集成活动的测试环境或测试模式。
其他首字母大写的术语具有合作伙伴条款中赋予的含义。
2. 资格及合作伙伴条款的纳入
API 访问仅向经批准的合作伙伴提供。
合作伙伴必须维持一个有效且信誉状况良好的 Nextkt 组织。
合作伙伴条款已纳入本 API 条款。
API 访问不会减少或取代合作伙伴在合作伙伴条款下的法律和财务义务。
即使合作伙伴已获批准通过 Nextkt 进行销售,Nextkt 仍可拒绝提供 API 访问。
3. API 访问模式
合作伙伴 API 是由 Nextkt 运营的接口,允许经批准的合作伙伴将其自身系统与 Nextkt 集成。
Nextkt 可运营相互独立的公共 API 和内部 API。
获得合作伙伴 API 的访问权限并不意味着可以访问:
- 系统管理路由;
- 内部员工工具;
- 其他合作伙伴的组织;
- 内部数据库;
- 非公开服务;
- 未记录在文档中的特权端点。
任何未明确向合作伙伴开放的路由均应视为未经授权。
4. 应用、凭证及组织范围
API 凭证特定于组织,并在适用时特定于应用。
合作伙伴不得:
- 将一个组织的 API 凭证用于另一个组织;
- 在无关联的公司之间共享凭证;
- 将正式凭证复制到测试环境中;
- 将凭证转让给其他合作伙伴;
- 利用一个合作伙伴账户创建隐藏的子租户或未经授权的转售商。
对于实质上相互独立的产品、域名或业务部门,Nextkt 可要求使用不同的应用。
合作伙伴对使用其 API 凭证进行的所有活动负责。
5. 沙盒与正式环境
沙盒仅用于测试。
合作伙伴不得使用沙盒:
- 处理真实付款;
- 误导买家以为发生了真实购买;
- 签发虚假的生产门票;
- 测试被盗银行卡;
- 进行盗卡测试;
- 针对真实支付基础设施运行欺诈性或滥用性的交易模拟。
正式模式可能需要经过审核和批准。
在启用正式模式之前,Nextkt 可要求合作伙伴完成测试、通过安全审查、验证域名、更新公司信息或进行其他检查。
6. 身份验证与凭证处理
合作伙伴只能使用 Nextkt 文档中记载的身份验证机制。
合作伙伴不得:
- 伪造身份验证标头;
- 篡改组织标识符;
- 重放已过期的凭证;
- 绕过权限范围检查;
- 尝试提升权限;
- 篡改令牌或签名;
- 使用从其他合作伙伴处获得的凭证;
- 利用身份验证错误。
对于其已知或合理怀疑已泄露的任何凭证,合作伙伴必须立即停止使用。
7. 权限范围与最小权限
合作伙伴只能申请和使用所需的最低权限。
如 Nextkt 提供权限范围组,合作伙伴不得尝试访问已批准范围以外的功能。
Nextkt 可出于安全、合规或风险原因随时缩减或撤销权限范围。
拥有广泛权限的凭证并不意味着允许滥用。
8. 授权来源与重定向 URI
合作伙伴必须准确注册授权的浏览器来源和重定向 URI。
合作伙伴不得注册:
- 其不控制的域名;
- Nextkt 禁止的通配符来源;
- 攻击者控制的域名;
- 会带来本可避免的安全风险的临时域名;
- 旨在截获属于他方的凭证或支付响应的重定向 URI。
合作伙伴负责保护其已注册域名的安全。
Nextkt 可随时拒绝或移除某一来源或重定向 URI。
9. 允许的使用
合作伙伴只能使用 API 运营经批准的集成,用于 Nextkt 支持的正当票务、售票处、活动、库存、销售、报表及相关工作流程。
在已启用的情况下,允许的使用包括:
- 读取活动和库存;
- 展示经批准的活动数据;
- 发起受支持的买家流程;
- 读取销售数据;
- 管理允许的运营功能;
- 接收 Webhook;
- 集成报表和内部工具。
允许的使用始终受所分配的权限范围和合作伙伴条款的约束。
10. 禁止的使用
合作伙伴不得使用 API:
- 实施欺诈;
- 创建虚假交易;
- 测试被盗的支付凭证;
- 洗钱;
- 创建虚假活动;
- 虚假陈述门票的可售情况;
- 规避费用;
- 绕过结账;
- 绕过支付管控;
- 绕过库存管控;
- 故意超售;
- 访问其他租户;
- 收割个人数据;
- 出于无关目的大规模抓取 API;
- 攻击或探测 Nextkt 基础设施;
- 突破速率限制;
- 传播恶意软件;
- 冒充 Nextkt;
- 签发未经授权的门票;
- 对受保护的内部行为进行逆向工程;
- 违法使用 API;
- 未经书面许可转售 API 访问权限;
- 利用 Nextkt 提供的数据打造具有竞争性的数据产品;
- 干扰其他合作伙伴;
- 利用漏洞而非报告漏洞。
11. 禁止跨租户访问
合作伙伴只能访问属于其经批准组织的数据,以及明确作为公开或共享数据开放的数据。
合作伙伴不得篡改组织标识符、标头、查询参数、对象标识符或凭证,以试图访问其他租户。
如合作伙伴意外收到似乎属于其他组织的数据,必须:
- 停止处理该数据;
- 不得复制或使用该数据;
- 立即通知 Nextkt;
- 遵循 Nextkt 的补救指示。
未经授权的跨租户访问构成重大违约。
12. 安全要求
合作伙伴必须维持与集成敏感程度相适应的安全措施。
合作伙伴至少必须:
- 使用 TLS;
- 保护静态存储的密钥;
- 限制生产环境访问;
- 遵循最小权限原则;
- 及时修补严重漏洞;
- 保持安全的开发实践;
- 审查依赖项;
- 保护管理员账户;
- 隔离测试环境与生产环境;
- 监控可疑活动;
- 保持事件响应能力。
对于高交易量或高风险的合作伙伴,Nextkt 可要求采取额外的管控措施。
13. 密钥存储与浏览器限制
正式 API 密钥不得嵌入以下位置:
- 公开的 JavaScript;
- 浏览器打包文件;
- 移动应用二进制文件(在可避免的情况下);
- 公共代码仓库;
- 可下载的配置文件;
- 截图;
- 未经授权人员可访问的支持工单;
- 客户端存储。
如 Nextkt 提供可在浏览器中安全使用的公共标识符,则必须使用这些标识符,而非服务器凭证。
因合作伙伴的实现方式导致的密钥泄露,其一切后果由合作伙伴承担。
14. WEBHOOK
合作伙伴负责安全地接收和处理 Webhook。
如提供签名或验证功能,合作伙伴必须在依据消息采取行动之前验证 Webhook 的真实性。
合作伙伴设计的 Webhook 处理机制必须能够容忍:
- 重试;
- 重复投递;
- 延迟投递;
- 乱序投递;
- 临时故障。
合作伙伴不得假定 Webhook 只会被投递一次。
合作伙伴不得暴露允许任意第三方触发特权操作的 Webhook 端点。
15. 幂等性与交易安全
如 Nextkt 要求或支持幂等性,合作伙伴必须正确使用幂等键。
合作伙伴不得故意重放付款、退款、结账、预留或签发请求以制造重复结果。
合作伙伴负责防止因其自身重试逻辑导致的重复操作。
如合作伙伴的系统因不当使用 API 而导致重复的交易、退款或门票,由此产生的财务后果及对买家的影响仍由合作伙伴负责。
16. 速率限制、流量控制与滥用防控
Nextkt 可按以下维度实施速率限制:
- API 密钥;
- 应用;
- 组织;
- IP 地址;
- 路由;
- 买家;
- 支付方式;
- 风险信号。
合作伙伴不得通过以下方式规避限制:
- 轮换密钥;
- 使用多个应用;
- 分散请求;
- 代理网络;
- 轮换 IP;
- 拆分请求。
Nextkt 可在不事先通知的情况下限制或拦截滥用流量。
如为保护平台而合理必要,已公布的限制可能会发生变化。
17. 自动化流量与机器人
仅在与正常 API 集成相符的情况下才允许自动化。
合作伙伴不得使用机器人或自动化手段:
- 抓取无关数据;
- 预留库存以阻止他人购买;
- 操纵销售;
- 模拟虚假买家;
- 虚增活跃度;
- 探测安全防护;
- 测试银行卡;
- 绕过排队或库存保护机制。
18. API 可用性
Nextkt 将尽合理努力运营合作伙伴 API。
API 可能因以下原因而无法使用:
- 维护;
- 安全补丁;
- Cloudflare 或网络故障;
- 基础设施事件;
- 支付服务提供商服务中断;
- 不可抗力;
- 紧急保护措施。
除非另行签署,否则不适用任何正常运行时间、延迟或响应时间方面的服务等级协议(SLA)。
19. API 变更与弃用
Nextkt 可新增、更改、替换或移除端点、字段、权限范围、身份验证机制或行为。
在切实可行的情况下,Nextkt 将尽商业上合理的努力,就重大的破坏性变更提前发出通知。
出于安全、反欺诈、法律、支付服务提供商或紧急原因的变更可立即实施。
合作伙伴负责关注开发者通知和变更日志。
未记录在文档中的行为不得被视为永久性约定。
20. 文档与示例
文档仅作为集成指导提供。
示例仅用于说明,可能省略生产环境的要求。
合作伙伴仍负责验证:
- 错误处理;
- 安全;
- 超时;
- 重试;
- 幂等性;
- 数据校验;
- 合规。
对于从示例中复制并在未经适当审查的情况下部署的代码,Nextkt 不承担责任。
21. API 返回的数据
合作伙伴只能将 API 数据用于其正当且经批准的集成。
合作伙伴不得:
- 出售 API 数据;
- 构建未经授权的数据集;
- 为无关的画像分析而合并买家数据;
- 公开暴露敏感字段;
- 在超出必要或合法期限的情况下保留数据。
数据可能会随时间被更正、删除、更新或重新分类。
22. 缓存与本地存储
合作伙伴只能在为性能或运营所合理必要的情况下缓存数据。
合作伙伴必须遵守 Nextkt 告知的任何缓存标头、数据保留要求和删除义务。
如果过时数据可能导致超售或损害买家,合作伙伴不得依赖缓存的库存、价格或可售情况。
对于交易关键信息,应按照文档的要求进行刷新或验证。
23. 个人数据
合作伙伴只能依照以下规定处理通过 API 获取的个人数据:
- 适用的隐私法律;
- 合作伙伴条款;
- Nextkt 隐私政策;
- 任何适用的数据处理协议;
- 买家同意或其他合法依据。
合作伙伴不得利用 API 访问权限构建无关的营销数据库。
合作伙伴必须尊重适用的删除、访问、更正及退出权利。
24. 支付与结账集成
合作伙伴只能使用经批准的支付和结账流程。
合作伙伴不得:
- 在无合法依据的情况下,于授权后更改应付金额;
- 绕过必需的身份验证;
- 隐去强制性费用或披露信息;
- 在经批准的流程之外截获支付凭证;
- 通过未经批准的系统传送支付数据;
- 在付款失败的情况下模拟付款成功;
- 为未付款的交易签发有效门票,但 Nextkt 明确支持线下/人工工作流程的情况除外。
合作伙伴对其控制的任何支付集成负责。
25. 买家身份验证与会话
如使用买家身份验证,合作伙伴必须保护买家的会话和令牌。
合作伙伴不得:
- 冒充买家;
- 在不同客户之间重复使用买家令牌;
- 暴露会话令牌;
- 故意削弱身份验证;
- 对受限操作绕过登录要求。
26. 库存完整性与超售防护
合作伙伴必须遵守 Nextkt 的库存、保留、预留和容量管控。
合作伙伴不得:
- 创建与 Nextkt 相冲突的本地库存;
- 无限期预留库存;
- 绕过容量检查;
- 在保留失败后确认销售;
- 签发重复的入场凭证;
- 在受支持的流程之外操纵座位或桌位分配。
如合作伙伴维护本地展示缓存,最终交易可售情况仍以 Nextkt 为权威来源。
27. 错误处理与重试行为
合作伙伴必须正确处理 HTTP 错误、校验错误、支付被拒、超时及冲突响应。
合作伙伴不得将超时视为交易失败的证据。
在重试对交易敏感的操作之前,合作伙伴必须遵循 Nextkt 文档中记载的状态检查或幂等流程(如有)。
合作伙伴对不安全的重试逻辑导致的重复操作负责。
28. 日志记录、监控与可审计性
合作伙伴必须保留足以调查集成问题的日志,同时不得不必要地存储密钥。
适当的日志可包括:
- 请求时间戳;
- 关联 ID;
- 路由名称;
- 响应代码;
- 内部交易参考号;
- Webhook 投递 ID。
合作伙伴不应记录完整的支付凭证、原始密钥或不必要的个人数据。
在发生事件或争议期间,合作伙伴必须保存相关日志。
29. 安全事件
合作伙伴在知悉以下情况后,必须及时通知 Nextkt,不得无故拖延,并尽可能在 24 小时内通知:
- API 凭证泄露;
- 未经授权的 API 使用;
- 跨租户数据暴露;
- 影响集成的恶意软件;
- Webhook 密钥遭泄露;
- 买家数据暴露;
- 支付数据暴露;
- 通过合作伙伴系统对 Nextkt 发起的重大攻击。
合作伙伴必须全力配合遏制和调查工作。
30. 漏洞研究与测试
未经事先书面授权,合作伙伴不得对 Nextkt 生产系统进行渗透测试、漏洞扫描、模糊测试、负载测试、拒绝服务测试或其他侵入性安全测试。
善意的安全报告可通过指定的安全渠道(如有)提交给 Nextkt。
合作伙伴利用漏洞的程度不得超出证明该漏洞所合理必要的范围。
31. 恶意软件与有害代码
合作伙伴不得利用 API 或相关系统传播恶意软件、勒索软件、间谍软件、凭证窃取程序、恶意重定向或有害代码。
合作伙伴必须采取合理措施,防止遭入侵的合作伙伴系统攻击 Nextkt。
32. 逆向工程与规避
除强制性法律另有明确许可外,合作伙伴不得:
- 对 Nextkt 软件进行逆向工程;
- 推导源代码;
- 规避身份验证;
- 绕过安全管控;
- 模拟特权内部服务;
- 干扰路由或租户管控。
为正常集成而观察文档中记载的 API 行为是允许的。
33. 竞争性滥用与数据收割
合作伙伴不得将 API 主要用于:
- 未经同意对 Nextkt 进行基准测试并公开发布;
- 为无关的竞争性数据库提取 Nextkt 活动目录;
- 收割买家;
- 复制 Nextkt 的专有工作流程;
- 利用 Nextkt 非公开数据训练具有竞争性的商业模型;
- 利用受保护的非公开信息重建 Nextkt 平台的实质部分。
本节任何内容均不妨碍合作伙伴将其自身的合作伙伴数据用于合法商业目的。
34. 转售、再许可与服务代理
未经 Nextkt 书面批准,合作伙伴不得向第三方转售、再许可、出租或提供原始 API 访问权限。
合作伙伴可聘用承包商构建其自身的集成,但合作伙伴仍须对其负责。
如 Nextkt 批准转售商或平台安排,可能适用附加条款。
35. 第三方开发者与承包商
合作伙伴仅可在必要时允许其开发者和承包商访问 API 凭证。
合作伙伴必须:
- 使其承担保密义务;
- 限制访问;
- 在不再需要时撤销访问权限;
- 对其作为和不作为承担责任。
36. 开源代码与客户端代码
合作伙伴必须确保其对开源软件的使用不会导致必须披露或许可 Nextkt 的专有材料。
合作伙伴不得在公共代码仓库中发布 Nextkt 的密钥、保密架构或非公开文档。
37. 开发者陈述与保证
合作伙伴陈述并保证:
- 其集成合法;
- 其有权访问其组织;
- 其将维持适当的安全措施;
- 其不会将 API 用于欺诈;
- 其不会访问其他租户;
- 其将遵守合作伙伴条款;
- 其将妥善保管凭证;
- 其将及时报告事件;
- 其不会故意干扰 Nextkt。
38. NEXTKT 的监控
Nextkt 可出于以下目的监控 API 使用情况:
- 性能;
- 安全;
- 反欺诈;
- 防止滥用;
- 执行速率限制;
- 调试;
- 合规;
- 计费;
- 产品改进。
Nextkt 可在法律允许的范围内保留 API 日志。
Nextkt 无须披露内部安全规则、欺诈阈值或监控逻辑。
39. 紧急限制
Nextkt 可立即:
- 轮换或撤销凭证;
- 封禁 IP;
- 停用应用;
- 缩减权限范围;
- 限制流量;
- 停用路由;
- 暂停组织;
- 限制结账;
- 停止 Webhook 投递;
前提是为保护 Nextkt、买家、支付服务提供商或其他合作伙伴而有必要。
紧急措施可在不事先通知的情况下采取。
40. 暂停与撤销
在下列情况下,Nextkt 可暂停或撤销 API 访问权限:
- 违反本 API 条款;
- 违反合作伙伴条款;
- 未付款;
- 错误过多;
- 滥用流量;
- 安全薄弱;
- 凭证遭泄露;
- 欺诈;
- 虚假活动;
- 拒付风险;
- 违法活动;
- 未配合调查;
- 支付服务提供商或主管机关的指示。
撤销可立即生效。
41. 费用
API 或开发者访问费用(如有)以书面约定、管理后台显示或适用商业附表所列为准。
可依照合作伙伴条款及适用的商业协议引入或更改使用费。
42. 知识产权
Nextkt 拥有 API、文档、架构、软件、Nextkt 提供的 SDK、开发者工具及相关专有技术的全部权利。
合作伙伴获得有限的、可撤销的、非独占的、不可转让的权利,仅可为其经批准的集成使用 API。
不转让任何所有权。
43. 反馈
如合作伙伴提供建议或反馈,Nextkt 可不受限制且无须付费地使用,前提是 Nextkt 在使用时不披露合作伙伴的保密信息。
44. 保密
非公开的 API 细节、凭证、定价、安全信息、未发布的功能以及私下的开发者沟通均属保密信息。
合作伙伴必须以合理的谨慎保护这些信息。
45. 赔偿
合作伙伴在合作伙伴条款下的赔偿义务完全适用于 API 的使用。
在不限制该等义务的前提下,对于因以下事项引起的索赔、损失和费用,合作伙伴将向 Nextkt 作出赔偿:
- 合作伙伴应用;
- API 滥用;
- 因合作伙伴导致的凭证泄露;
- 合作伙伴进行的跨租户访问;
- 不安全的重试逻辑;
- 因合作伙伴导致的重复交易;
- 侵犯隐私;
- 安全事件;
- 违法使用数据;
- 合作伙伴或其开发者的恶意或被禁止的活动。
46. 免责声明
在法律允许的最大范围内,API 按 "现状" 和 "现有" 基础提供。
Nextkt 不保证:
- 服务不中断;
- 运行无错误;
- 任何端点永久可用;
- 与所有框架兼容;
- 所有缺陷都会被修复;
- 合作伙伴的实现安全或正确。
47. 责任限制
合作伙伴条款中的责任限制条款适用于本 API 条款。
在法律允许的最大范围内,Nextkt 对以下原因造成的损失不承担责任:
- 合作伙伴的代码;
- 不正确地使用 API;
- 过时的缓存;
- 泄露的凭证;
- 不安全的重试;
- 合作伙伴系统停机;
- 第三方库;
- 密钥在浏览器中遭未经授权的暴露;
- 不受支持的集成。
48. 终止
在下列情况下,本 API 条款终止:
- 合作伙伴条款终止;
- API 访问权限被永久撤销;或
- Nextkt 停止提供合作伙伴的 API 访问权限。
Nextkt 可单独终止 API 访问,同时允许合作伙伴继续使用 Nextkt 的其他服务。
49. 终止的效力
API 访问结束后,合作伙伴必须:
- 停止 API 调用;
- 停止以有效的 Nextkt API 合作伙伴身份自居;
- 删除或安全销毁正式 API 凭证;
- 停用调用 API 的自动化任务;
- 停止使用非公开的 API 数据,但法律要求或明确允许的情况除外。
合作伙伴现有的财务义务不受影响。
50. 适用法律
本 API 条款受新加坡法律管辖。
合作伙伴条款中的争议解决条款适用。
51. 联系方式
Kisum Pte. Ltd. / Nextkt
支持:support@nextkt.com
合作伙伴 API:https://partners.nextkt.com
开发者文档:https://developers.nextkt.com