Данные как платный продукт: свой API, ключи, лимиты и права

Кому и когда это нужно

Вы годами собирали каталог автомобилей, товаров или справочник, и к вам приходят разработчики и магазины со словами «дайте выгрузку». Файл уходит одному клиенту, его пересылают дальше, обновлений нет. Программный интерфейс (API) продаёт доступ, а не копию: у каждого свой ключ, лимит и тариф.

Если не заняться, выгрузки разойдутся бесплатно, а один активный клиент без лимитов уронит сервис для остальных.

Как это делается: 8 шагов

1. Проверьте права на данные до любой разработки (раздел ниже).
2. Проверьте спрос: пять разговоров с будущими клиентами. Вопросы: что вы делаете с такими данными сейчас, какое поле вам важнее всего, как часто нужны обновления, сколько готовы платить. Метод в статье про интервью до разработки.
3. Определите состав: какие поля отдаёте, какие нет. Персональные данные не включайте без основания.
4. Сделайте три метода: список записей, одна запись, «что изменилось с такой-то даты». Последний клиенту нужнее всего. Снятые записи помечайте снятыми, а не удаляйте: у клиента от этого ломается логика.
5. Ключ передавайте в заголовке запроса. В базе храните только хэш ключа, полный ключ показывайте один раз при выдаче. Нужны отзыв и замена без остановки сервиса, при желании привязка к IP.
6. Поставьте лимиты: в минуту (защита) и в сутки (тариф). При превышении отдавайте код 429 и подсказку, через сколько повторить.
7. Напишите документацию в формате OpenAPI: примеры запросов и ответов, тестовый ключ с малым лимитом, песочница.
8. Оформите оферту и тарифы: бесплатный пробный доступ, затем ступени по числу запросов. Цена складывается из себестоимости хранения и обновления, стоимости поддержки и ценности данных для клиента, подход в статье про цену продукта. Цифры условные: пробный 100 запросов в сутки, базовый 5 000, больше по договору.

После запуска работа не заканчивается. Данные нужно обновлять и публиковать журнал изменений, чтобы клиент видел, насколько они свежие. Нужен мониторинг: падение сервиса, всплеск запросов, ключ, который вдруг пошёл с чужих адресов. И нужен человек, который отвечает клиентам. Клиентами чаще всего оказываются разработчики, интернет-магазины и площадки, у каждого свой вопрос: первым нужна документация, вторым стабильность, третьим объём.

Из чего это складывается: четыре слоя

Права и документы

Не юридическая консультация. Нормы ГК РФ я сверил по текстам статей на сайтах-зеркалах кодекса, не по официальному порталу: перед запуском сверьте с актуальной редакцией.

Ст. 1260 относит базу данных к составным произведениям: составителю принадлежат права на подбор или расположение материалов. Ст. 1333 называет изготовителем лицо, организовавшее создание базы. По ст. 1334 изготовителю, чья база потребовала существенных затрат, принадлежит исключительное право извлекать материалы и использовать их. Существенными считаются затраты на базу не менее чем из 10 000 самостоятельных элементов, пока не доказано иное. Извлечение это перенос всего содержания или существенной части на другой носитель. По ст. 1335 право действует 15 лет и возобновляется при обновлении базы. Регистрация базы по желанию (ст. 1334, п. 3).

Отсюда два вывода. Если база ваша, вы вправе назвать условия доступа и запретить копирование. Если вы собрали её из чужой базы, чужой изготовитель может иметь то же право: целиком копировать каталог чужого сайта без согласия нельзя. «Легально ли собирать открытые данные», я не обещаю: условия сайта-источника и объём забора смотрит юрист. Обход защиты чужих сайтов не описываю и не делаю.

Если данные вам передают поставщики, запишите в договоре с ними, что вы вправе давать доступ третьим лицам и на каких условиях. Без этой строки продажа доступа опирается на устную договорённость. Фиксируйте также, откуда и когда взята каждая часть базы: при претензии первым спросят происхождение.

Персональные данные (телефоны, ФИО) требуют отдельного основания, подробнее в статье про мифы о 152-ФЗ. Проще не включать их в выдачу.

Оферта на API: условия использования, лимиты, ответственность, уровень доступности (SLA), права на данные и запрет перепродажи. Разбор в статье про договор оферты. Доход от продажи доступа зависит от вашего режима, см. патент или УСН; подходит ли патент для такой деятельности, не проверено, спросите бухгалтера.

По безопасности пройдите список OWASP API Security Top 10 (2023). В нём среди прочего сломанная аутентификация, доступ к чужим объектам и неограниченное потребление ресурсов.

Где ошибаются чаще всего

• Продают чужие данные, не проверив права: источник нашли, откуда взяли, не записали.
• Нет лимитов: один клиент гоняет запросы в цикле, остальным сервис недоступен.
• Ключи лежат открыто: в коде, в переписке, в базе в исходном виде.
• Нет поддержки: непонятно, кто отвечает на письмо клиента и за какое время. Объём и стоимость владения такой системы я оценивал до сметы в кейсе про разведку данных.

Где здесь поможет автоматизация

В одном проекте я собрал платформу API по данным об автомобилях из Китая (новые и с пробегом). Ключи выдаются командой, у каждого суточный лимит, есть тестовый ключ с малым лимитом, методы списка, записи и изменений, страница документации. Формат совместим с чужим сервисом: клиенту достаточно сменить адрес и ключ. Платформа работает на сервере заказчика. Закрытые площадки не обходили, брали только открытые списки. Это описано по моим заметкам, код сейчас на стороне заказчика. Совместимость интерфейса не равна праву на данные: это два разных вопроса.

Могу собрать выдачу и отзыв ключей, тарифы и счётчик запросов, уведомление клиенту о подходе к лимиту, контроль свежести данных, документацию. Это входит в автоматизацию бизнеса. На старте кабинет и автоплатежи не нужны: хватит ключей вручную, документации и счёта.

Частые вопросы

Нужно ли регистрировать базу данных?

По ст. 1334, п. 3 регистрация возможна по желанию, право возникает при завершении создания базы (ст. 1335).

Можно ли дать бесплатный доступ?

Да, как пробный с низким лимитом и теми же условиями оферты.

Что, если клиент перепродаёт данные дальше?

Запретите это в оферте, держите журнал запросов и лимит на ключ. Доказывать нарушение сложно, формулировки покажите юристу.

Коротко о главном

Сначала права и спрос, потом ключи, лимиты, тарифы и документация. Лимиты и хранение ключей в виде хэша нужны с первого клиента.

Хотите, чтобы я собрал для вашей базы платный API с ключами, лимитами и документацией? Напишите мне в Telegram слово «API».