API
Полный доступ к API, который считали внутренним
Почти у каждого продукта есть API только для своих. Показываем, почему слово внутренний ничего не закрывает.
Внутренний API
Эндпоинт которого не было в документации
В JS-бандле нашлись пути которых не было в публичной документации. Один из них выглядел как служебный - /api/internal/export. Судя по названию - для внутреннего использования, вероятно для миграций или бэкапов.
Мы отправили GET-запрос без авторизационного заголовка. Ожидали 401 или 403.
Получили 200 и JSON с данными.
