API و وب‌هوک lemonai

شروع در سه قدم

کلید را هرگز داخل کد صفحهٔ سایت (سمت مرورگر) نگذارید. هر کسی که صفحه را باز کند کلید را می‌بیند. API فقط برای ارتباط سرور به سرور است و هدر CORS نمی‌دهد. اگر کلید لو رفت، همان لحظه از پنل باطلش کنید.

کلید و دسترسی

هر کلید فقط به دادهٔ همان کلینیکی می‌رسد که آن را ساخته. ابطال در همان لحظه اثر می‌کند. سرور خود کلید را نگه نمی‌دارد، فقط اثر انگشتش را؛ پس کلید گم‌شده بازیابی نمی‌شود و باید کلید تازه بسازید.

Authorization: Bearer lai_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

قواعد نوبت: همان قواعد صفحهٔ نوبت دهی کلینیک

نوبتی که از API می‌آید از همان مسیری رد می‌شود که نوبت صفحهٔ آنلاین کلینیک. پس API هیچ میانبری ندارد:

اندپوینت‌ها

نمونه

وقت آزاد یک روز

curl -H "Authorization: Bearer $LEMONAI_KEY" \
  "https://api.lemonai.ir/v1/slots?date=2026-10-12&service_id=12"

# {"ok":true,"data":{"date":"2026-10-12","booking_enabled":true,
#   "rows":[{"time":"10:00"},{"time":"10:30"},{"time":"11:00"}]}}

ثبت نوبت

curl -X POST https://api.lemonai.ir/v1/appointments \
  -H "Authorization: Bearer $LEMONAI_KEY" -H "Content-Type: application/json" \
  -d '{"service_id":12,"date":"2026-10-12","time":"10:30","phone":"09121234567","name":"مریم رضایی"}'

# 201 {"ok":true,"data":{"created":true,"appointment":{"id":845,"status":"booked",
#   "start_at":"2026-10-12T10:30","date_jalali":"۱۴۰۵/۰۷/۲۰","time":"۱۰:۳۰",
#   "service":"لیزر صورت","channel":"api","client":{"patient_id":311,"name":"مریم رضایی",
#   "phone":"09121234567"}}}}
# 409 {"ok":false,"error":"این وقت همین الان پر شد؛ وقت دیگری انتخاب کنید"}

خطاها و سقف‌ها

سقف هر کلید: ۱۲۰ درخواست و ۳۰ نوشتن در دقیقه. هر کلینیک روزانه تا ۲۰۰ نوبت از API می‌گیرد. اگر بیشتر لازم دارید در واتساپ بگویید.

وب‌هوک: خبر خودکار به سیستم شما

در همان صفحهٔ تنظیمات «نشانی تازه» بزنید، نشانی https:// سرور خودتان را بدهید و رویدادها را انتخاب کنید. یک راز امضا می‌گیرید که فقط همان بار نشان داده می‌شود. دکمهٔ «ارسال آزمایشی» یک رویداد ping می‌فرستد و نتیجهٔ هر ارسال در همان کارت دیده می‌شود.

شکل درخواست

POST https://crm.example.com/lemonai
Content-Type: application/json; charset=utf-8
X-Lemonai-Event: appointment.created
X-Lemonai-Event-Id: evt_5355d7892e9979e44193a147
X-Lemonai-Signature: sha256=8c1f…

{"id":"evt_5355d7892e9979e44193a147","event":"appointment.created",
 "created_at":"2026-10-07T11:13:43","clinic":"my-clinic",
 "data":{"appointment":{"id":845,"status":"booked","start_at":"2026-10-12T10:30",
   "date_jalali":"۱۴۰۵/۰۷/۲۰","time":"۱۰:۳۰","duration_min":30,"service":"لیزر صورت",
   "line":"لیزر","staff":null,"source":"online","channel":"api"},
  "client":{"patient_id":311,"name":"مریم رضایی","phone":"09121234567"}}}

# lead.created:
# "data":{"lead":{"id":17,"channel":"instagram","created_at":"…","service":"بوتاکس",
#   "time":null,"summary":"برای بوتاکس وقت می‌خوام 0912…","reason":"…"},
#  "client":{"name":null,"phone":"09121234567","instagram":"username","patient_id":null}}

سنجش امضا

امضا HMAC-SHA256 روی بدنهٔ خام درخواست است، با راز همان نشانی. بدنه را پیش از JSON کردن بسنجید و مقایسه را با تابع زمان‌ثابت انجام دهید. درخواست بی امضای درست را رد کنید.

import crypto from 'node:crypto';

// rawBody: Buffer همان بدنهٔ دریافتی، پیش از JSON.parse
function verify(rawBody, header, secret) {
  const want = 'sha256=' + crypto.createHmac('sha256', secret).update(rawBody).digest('hex');
  const a = Buffer.from(want), b = Buffer.from(String(header || ''));
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

// Express: app.post('/lemonai', express.raw({ type: 'application/json' }), (req, res) => {
//   if (!verify(req.body, req.get('X-Lemonai-Signature'), process.env.LEMONAI_SECRET)) return res.sendStatus(401);
//   const event = JSON.parse(req.body); res.sendStatus(200);
// });

<?php
$raw  = file_get_contents('php://input');
$want = 'sha256=' . hash_hmac('sha256', $raw, getenv('LEMONAI_SECRET'));
$got  = $_SERVER['HTTP_X_LEMONAI_SIGNATURE'] ?? '';
if (!hash_equals($want, $got)) { http_response_code(401); exit; }
$event = json_decode($raw, true);
http_response_code(200);

import hmac, hashlib, os, json

def verify(raw_body: bytes, header: str) -> bool:
    want = 'sha256=' + hmac.new(os.environ['LEMONAI_SECRET'].encode(), raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(want, header or '')

# Flask:
# @app.post('/lemonai')
# def hook():
#     if not verify(request.get_data(), request.headers.get('X-Lemonai-Signature')): abort(401)
#     event = json.loads(request.get_data()); return '', 200

کدام داده بیرون می‌رود