Доступ, сесії та tenant-ізоляція
Які перевірки виконуються до показу замовлень, зміни налаштувань або виклику Store API.
1. Номер замовлення не є ключем доступу
Покупець бачить власні замовлення лише після підтвердження identity та створення server-side сесії.
Працівник і business-користувач мають окремі сесії, ролі й permission checks; frontend-прапорець не надає право на дію.
2. Store API перевіряє scope і permission
Ключ належить конкретному магазину. Після його перевірки backend окремо перевіряє необхідний scope та permission для ресурсу.
Rate limit задається конфігурацією магазину. Response повертає фактичні X-RateLimit заголовки, тому публічна довідка не вигадує універсальну цифру.