# Oturum ve yetkilendirme

Kurum sınırı, CSRF ve servis kimliklerinin kullanım şekli.

## Portal oturumu

`POST /portal-api/login` kullanıcı adı ve parolayla oturum açar. HTTPS oturum çerezi `__Host-sigillum-session` adını taşır. `GET /portal-api/session` geçerli oturum kapsamını ve CSRF değerini verir. Aynı köken kontrolü ve CSRF koruması aşılmamalıdır.

## Kapsam ve değişiklik istekleri

| Başlık | Kullanım |
|---|---|
| `X-Sigillum-Csrf` | Oturumun sağladığı CSRF değeri; değiştiren/korunan POST işlemleri |
| `X-Sigillum-Institution` | Seçili kurum kimliği |
| `X-Sigillum-Environment` | Seçili ortam kimliği |

Kapsam başlıkları mevcut oturumla uyumlu olmalıdır; farklı kuruma erişim hakkı yaratmaz. Kurum/ortam değişiminde `/portal-api/scope` akışını ve yeni oturum değerlerini kullanın.

## SDK servis kimliği

Servis için portalın oluşturduğu `config.json` dosyasını kullanın. `sourceToken` servis kapsamındadır. İmzalı giriş profilleri uygulama bağlamını belirler. Kimlikleri genel web sitesinde, issue metninde veya kod örneğinde paylaşmayın. SDK teslimini cURL ile elle taklit etmek yerine verilen paketi kullanın.