PAT token a CloudCartban: Claude, ChatGPT és Gemini a webshopban

Röviden: a PAT token (Personal Access Token, személyes hozzáférési token) az a kulcs, amellyel egy AI ügynök, például a Claude Code, a ChatGPT Codex vagy a Gemini CLI belép az Ön CloudCart webshopjába. Csak a tulajdonos hozhatja létre a Beállítások → PAT tokenek menüben. A token cc_pat_ előtaggal kezdődik, egyetlen egyszer jelenik meg, és háromféle jogosultságot kaphat: Read Only, Full Access vagy Custom Permissions.

Ez az útmutató csak a kulcsról szól: hogyan hozza létre, milyen jogot adjon neki, mikor kösse IP-címhez, és hogyan vonja vissza a hozzáférést. Az ügynök telepítését és a napi munkát a Claude Code webshophoz, a ChatGPT és Codex lépésről lépésre és a Gemini CLI a terminálból cikkek írják le.

Mi a PAT token a CloudCartban?

A PAT token a webshop tulajdonosának személyes hozzáférési kulcsa, amelyből a CloudCart adminisztrációs API-ja (Admin GraphQL API) és a CloudCart CLI felismeri, ki küldi a kérést. Minden kérés a tulajdonos nevében fut, de csak azokon a jogokon, lejáraton és IP-címeken belül, amelyeket a tokenhez beállított.

A token 71 karakter hosszú: cc_pat_ és 64 véletlenszerű hexadecimális karakter. A platform csak a token kivonatát (SHA-256 hash) tárolja, ezért az értéke egyetlen egyszer látható, a létrehozás után megjelenő zöld „Token Created Successfully!” panelen. Az elveszett token nem állítható vissza: törli, és újat hoz létre.

PAT token vagy API kulcs: mi a különbség?

A PAT token AI ügynököknek és az Admin GraphQL API-nak készült, az API kulcs a REST API-hoz és állandó integrációkhoz. A CloudCartban van még két kulcstípus headless kirakatokhoz, és ezeket könnyű összekeverni. A táblázat megmutatja, melyik mire való:

Kulcs	Hol készül	Mire való	Jogosultság
PAT token	Beállítások → PAT tokenek	AI ügynökök, CloudCart CLI, Admin GraphQL API (/api/gql)	Read Only, Full Access vagy kiválasztott területek; lejárat és IP-címek
API kulcs	Beállítások → Api keys	REST API (/api/v2) külső integrációkhoz: ERP, automatizálás, szkriptek	Az egész webshop, területekre bontás nélkül; Starter Packtől felfelé, csomagonkénti korláttal
Deployment token	A Nitrogen kirakat oldalán, Deployments fül	Headless kirakat feltöltése a cloudcart nitrogen deploy paranccsal	Csak az adott kirakat telepítése
Storefront API tokenek	A Nitrogen kirakat oldalán, Storefront API fül	A kirakat lekérdezései a katalógushoz (nyilvános és privát token)	A kirakat adatai

Kinek és mikor kell PAT token?

PAT token minden tulajdonosnak kell, aki azt szeretné, hogy egy AI ügynök olvassa vagy módosítsa a webshopot, és mindenkinek, aki a CloudCart CLI-t használja. A funkciónak nincs csomagkorlátja: a PAT tokenek képernyője ugyanaz a Baby Packben, a Starter Packben, a CC Próban és a CC Masterben.

• Először köti össze az ügynököt. Miután beillesztette az admin felület kezdőlapján található összekötő mondatot, az ügynök maga telepíti a szükséges eszközöket, és a végén két dolgot kér: a webshop címét és egy PAT tokent.
• Csak jelentéseket szeretne. Az az ügynök, amely reggelente megírja az eladásokat, a készletet és az elhagyott kosarakat, Read Only tokennel is elvégzi a dolgát. Ilyen feladatra mutat példát a napi értékesítési riport reggel 8-ra AI ügynökkel cikk.
• A webshop egy részét bízza az ügynökre. Például csak a termékeket és a készletet, rendelések és vásárlók nélkül: ezt a Custom Permissions szint teszi lehetővé.
• Több gépen vagy több ügynökkel dolgozik. Ha mindegyik külön tokent kap, egyet leállíthat anélkül, hogy a többihez hozzányúlna.

A token nem munkatársi fiók, és nem számít bele a csomag admin fiókjainak keretébe. A Baby Packben 1 admin fiók van, az ügynök mégis dolgozhat a webshopban anélkül, hogy egy második helyet foglalna. Az összes csomag ára az árak oldalon található.

Hogyan hozzon létre PAT tokent lépésről lépésre?

PAT tokent a Beállítások → PAT tokenek képernyőn hoz létre (az admin felületen: Settings → Account → PAT Tokens), vagy a bal alsó felhasználói menüből a PAT tokenek pontban. Kötelező a token neve és a jogosultsági szint, minden más opcionális.

1. Lépjen be tulajdonosként. PAT tokent csak a webshop tulajdonosa hoz létre és kezel. Adminisztrátor vagy moderátor esetén a rendszer elutasítja a kérést („Only store owners can manage CLI tokens”), és a munkatársi jogosultságok között nincs olyan jelölőnégyzet, amellyel ez átadható lenne.
2. Nyissa meg a PAT tokeneket. Felül egy számláló látszik: „N of 100 tokens”, vagyis tulajdonosonként legfeljebb 100 token. Ha még nincs tokenje, kattintson a Create Your First Token gombra, egyébként a Create Token gombra.
3. Töltse ki a Token Details részt. A Token Name kötelező (legfeljebb 100 karakter): írja bele, kié a kulcs, például „Claude Code, irodai laptop”.
4. Válasszon szintet a Permissions részben. Három kártya közül választ: Read Only („Recommended” jelöléssel, alapértelmezetten kiválasztva), Full Access és Custom Permissions. Hogy melyik mikor jó, a következő fejezet mutatja meg.
5. Nyissa le az Advanced Settings részt, ha lejáratot vagy IP-korlátozást szeretne. A rész alapból össze van csukva. A Token Validity alatt kapcsolja ki a „No expiration” opciót, és válasszon lejárati dátumot. Az IP Restrictions alatt az Add IP Address gombbal legfeljebb 20 címet vagy tartományt ad meg.
6. Kattintson a Generate Token gombra. Megjelenik a „Token Created Successfully!” panel a teljes tokennel és egy Copy gombbal. Másolja ki azonnal: a Done után az érték végleg eltűnik.
7. Adja át a tokent az ügynöknek. Illessze be az ügynök csevegőjébe, amikor kéri, a webshop címével együtt, https:// nélkül (például sajatbolt.cloudcart.net vagy sajatbolt.hu). Az ügynök csak a belépési parancsban használja, és az Ön gépén tárolja.
8. Ellenőrizze egy kérdéssel. Kérdezze meg az ügynököt: „Hány rendelésem volt tegnap?” Ha válaszol, a token Last used at oszlopában megjelenik a kérés időpontja.

Fontos: a token bármelyik gépről működik annak, akinél van, hacsak nem adott meg IP-címeket. Kezelje úgy, mint egy jelszót: ne küldje el e-mailben, ne fényképezze le, és ne tegye megosztott dokumentumba.

Milyen jogosultságot adjon a PAT tokennek?

Kezdjen Read Only szinttel, és csak akkor adjon szélesebb hozzáférést, ha az ügynöknek módosítania is kell valamit. Ez a legkisebb jogosultság elve (least privilege), amelyet a NIST és az OWASP is ajánl (angolul): minden kulcs pontosan annyi hozzáférést kap, amennyi a feladathoz kell.

Szint	Mit enged	Mikor válassza
Read Only	Mindent olvas, semmit nem módosít. Minden módosítási kérést elutasít.	Jelentések, KPI-ok, kérdések a készletről és a rendelésekről, az első napok az ügynökkel
Full Access	Mindent olvas és módosít a webshopban	Az ügynök felépíti a webshopot, termékleírásokat ír, árakat és beállításokat módosít
Custom Permissions	Csak a kiválasztott területek, mindegyik None, Read vagy Read & Write szinttel	Az ügynök egy területen dolgozik, például a termékeken és a készleten

A Custom Permissions alatt 8 sor van: Products, Orders, Customers, Inventory, Discounts, Blog, Settings és Webhooks. Az Inventory és a Discounts sornál nincs csak olvasási lehetőség: ha az ügynöknek látnia kell a készletet, teljes hozzáférést kap az Inventory területhez. Ha minden sort None-on hagy, a token Read Only szinttel mentődik.

Melyik feladathoz milyen jog kell?

A táblázat a kereskedők leggyakoribb feladatait mutatja. A mondatok példák, amelyeket közvetlenül beilleszthet az ügynöknek:

Feladat	Mondat az ügynöknek	Minimális jog
Reggeli jelentés és KPI	„Hasonlítsd össze a tegnapi bevételt a múlt hét azonos napjával.”	Read Only
Új beszállítói árlista	„Frissítsd az árakat cikkszám szerint, és mutasd, melyik hiányzik.”	Products: Read & Write
Black Friday akció	„Adj 15% kedvezményt a Tél kategóriára vasárnapig.”	Discounts + Products: Read
Cikk a webshop blogjába	„Írj vázlatot a téli bőrápolásról.”	Blog: Read & Write
Kategóriánkénti jelentés	„Mutasd az eladásokat kategóriánként októberre.”	Settings: Read (a jelentések a Settings alatt vannak)

Több kész mondatot talál a 30 AI prompt rendelésekhez, készlethez, árakhoz és SEO-hoz cikkben, azt pedig, hogy mely számokat érdemes követni és hogyan számolja őket az ügynök, a webshop 10 legfontosabb KPI mutatója írja le.

Milyen jog kell az ügynöknek hírlevélhez, hirdetésekhez és mutatókhoz?

A marketingmunkához az ügynöknek a Settings terület kell, mert az Admin GraphQL API-ban a kampányok, az alkalmazások, az SEO-beállítások és a webshop jelentései ez alá tartoznak. A feliratkozók és a vásárlók a Customers alatt vannak. A PAT token csak a CloudCart webshopot nyitja meg az ügynöknek: a Meta Ads Manager, a Google Ads és a Google Search Console eredményeit külön hozzáféréssel olvassa, amelyet az adott szolgáltatásban ad meg.

Munka	Mit csinál az ügynök a CloudCartban	A token minimális joga	Ami a tokenen kívül marad
Hírlevél a Marketing Suite-ban	Megírja a kampányt a valódi termékekből és árakból, kiválasztja a feliratkozói szegmenst, előkészíti a sablont	Settings: Read & Write, Customers: Read, Products: Read	Semmi: az e-mail és a web push kampány a webshop Marketing menüjében van
Meta (Facebook és Instagram)	Ellenőrzi a Pixel ID-t és a Conversions API-t az Alkalmazások → XML Feed → Facebook alatt, hirdetésszövegeket ír a legkelendőbb termékekhez	Settings: Read, Products: Read, Orders: Read	A hirdetések költségkerete és eredményei a Meta Ads Managerben
Google Ads és Google Shopping	Javítja a feedbe kerülő termékek címét és leírását, ellenőrzi a Google Dynamic Remarketinget és a Google Tag Managert	Products: Read & Write, Settings: Read	A kampányok és a költések a Google Ads fiókban
Árukereső és Compari	Rendbe teszi a termékfeedbe kerülő neveket, leírásokat és EAN kódokat, megkeresi a kép vagy ár nélküli termékeket	Products: Read & Write, Settings: Read	Az ajánlatok kattintásdíja és a statisztika az árösszehasonlító fiókjában
Google Search Console	Ellenőrzi az összekötést az Alkalmazások → Google Search Console alatt, SEO címeket és meta leírásokat ír a termékekhez	Products: Read & Write, Settings: Read	A keresések, kattintások és pozíciók a Search Console-ban
A webshop mutatói	Kiszámolja a bevételt, a rendelések számát, az átlagos kosárértéket, a visszatérő vásárlók arányát, a legkelendőbb termékeket és az alacsony készletet	Read Only	A GA4 munkamenetei, ha azokat is szeretné

A mutatókhoz nem kell képernyőt nyitnia: Read Only tokennel megkérdezi az ügynököt, „Mennyi volt az átlagos kosárérték októberben szeptemberhez képest, és melyik 5 termék hozta a legtöbb bevételt?”, és az ügynök a rendelésekből számol.

Az egyes csatornákról külön útmutató szól: hírlevélküldés a CloudCartban lépésről lépésre, Facebook hirdetés webshopnak, Google Ads webshopnak és Google Search Console webshopnak.

Fontos: hirdetésszövegekhez és hírlevélhez az ügynöknek nem kell név szerint látnia a vásárlókat. Customers: Read jogot csak akkor adjon, ha a feladat feliratkozói szegmens vagy a visszatérő vásárlókról szóló jelentés.

Legyen IP-korlátozás, és mennyi ideig éljen a token?

IP-korlátozást akkor állítson be, ha az ügynök állandó címről dolgozik: irodából, szerverről vagy CI rendszerből. Ha otthoni laptopról dolgozik, és az internetszolgáltató változó címet ad, hagyja üresen a listát, és adjon rövid lejáratot.

• Üres lista azt jelenti, hogy a token bármilyen címről működik.
• Egy cím így néz ki: 192.168.1.100, egy teljes hálózat így: 192.168.1.0/24 (256 cím). Az IPv4, az IPv6 és a CIDR tartományok is támogatottak, tokenenként legfeljebb 20.
• Más címről érkező kérés IP_NOT_ALLOWED hibát kap, és a Last used at oszlop nem változik.

Az érvényesség (Token Validity) alapértéke „No expiration”: a token addig működik, amíg nem törli vagy kapcsolja ki. A lejárati dátumnak a jövőben kell lennie. Bevált gyakorlat a 30-90 napos lejárat laptopon futó ügynöknél, és lejárat nélküli token csak szerver IP-címéhez kötve.

Hogyan vonja vissza az AI ügynök hozzáférését?

A hozzáférés azonnal, minden gépen megszűnik, amikor a PAT tokenek képernyőn kikapcsolja vagy törli a tokent. A két megoldásnak eltérő következménye van:

Művelet	Hol	Mi történik	Visszafordítható?
Kikapcsolás (Active)	A sor kapcsolója	Minden kérést elutasít; a token a listában marad	Igen: visszakapcsolja, és ugyanaz a token újra működik
Törlés (Delete)	A sor gombja, „This action cannot be undone.” megerősítéssel	A kivonat végleg megsemmisül	Nem: új tokent hoz létre, új értékkel
cloudcart auth logout	A terminál azon a gépen, ahol az ügynök fut	Csak ezen a gépen törli a belépést	Igen, új belépéssel

A kikapcsolás szünetre jó, például szabadság idejére. A törlés a helyes lépés, ha gyanítja, hogy a token illetéktelen kézbe került. A szerkesztés nem cseréli le az értéket: ha ugyanazokkal a jogokkal új kulcsot szeretne, törli a régit, és újat hoz létre.

Mit nyer a PAT tokennel és az AI ügynökkel?

Jól beállított tokennel egy több tucat kattintásos feladatból egyetlen mondat lesz, a kockázat pedig kézben marad. Egy 300 termékes kozmetikai webshopban az új beszállítói árlista azt jelenti, hogy 300 cikkszámot és 300 árat kell összevetni. A Products: Read & Write jogú tokennel dolgozó ügynök összeveti a cikkszámokat, megmutatja az eltéréseket, és egyetlen, a háttérben futó tömeges művelettel módosítja az árakat.

• Gyorsaság. Az Admin GraphQL API webshop-címenként percenként 300 kérést fogad, a tömeges módosítások pedig egyetlen háttérfeladatként futnak le több száz különálló kérés helyett.
• Kontroll. A Read Only token semmit nem tud módosítani, még akkor sem, ha az ügynök hibás kérést küld.
• Nyomon követhetőség. A tokenen keresztüli módosítások a tulajdonos nevén kerülnek a naplóba. Ügynökönként külön tokennel és a Last used at oszloppal látja, melyik kulcs mikor dolgozott.

Hogy ez egy átlagos webshopnak heti hány órát takarít meg, az AI ügynök a webshopban: mennyi időt és pénzt spórol cikkben számoltuk ki, a tömeges módosításokat pedig a tömeges árváltoztatás AI-jal írja le.

7 bevált gyakorlat a PAT tokenekhez

1. Egy token egy ügynöknek vagy gépnek. A név megmondja, ki és hol használja („Gemini CLI, szerver”). Egyet leállít, a többi tovább dolgozik.
2. Kezdésnek Read Only. Az első napokban kérjen jelentéseket és készletadatokat. Full Access jogot akkor adjon, amikor már látta, hogyan dolgozik az ügynök.
3. Kérje, hogy előbb mutassa meg. Kérje meg az ügynököt, hogy mutassa meg a módosítások listáját, és hagyja jóvá, mielőtt végrehajtja. Így a hibás kérés kiderül, mielőtt a webshopba érne.
4. Kapcsolja be a napi biztonsági mentést Full Access előtt. Az összekötő mondat kimásolása után az admin felület felajánlja a napi biztonsági mentés előfizetését, ha a webshop jogosult rá. Ezzel az egész webshopot vagy egy részét visszaállíthatja az utolsó napi mentésre.
5. Lejárat a laptopnak, IP-cím a szervernek. Hordozható gépen 30-90 napos token, szerveren a címéhez kötött token.
6. Havonta nézze át a Last used at oszlopot. A hetek óta nem használt tokent törölje. Az oszlop csak sikeres kérésnél frissül.
7. Gondolja végig, mit olvas a szolgáltató. Az ügynök szolgáltatója (Anthropic, OpenAI, Google) az Ön ottani fiókjának feltételei szerint dolgozza fel azt, amit az ügynök elolvas. Ha az ügynöknek nincs szüksége a vásárlókra, ne adjon Customers jogot.

Kerülendő hibák, és mit jelentenek az elutasítások?

A leggyakoribb hiba, hogy a tulajdonos bezárja az ablakot, mielőtt kimásolta volna a tokent: ilyenkor csak új token segít.

Ha az ügynök nem tud végrehajtani valamit, az Admin GraphQL API kódot és üzenetet küld vissza. A táblázat a leggyakoribbakat mutatja:

Üzenet	Ok	Teendő
„Invalid or expired token”	Rosszul másolt, kikapcsolt vagy lejárt token	Kapcsolja vissza a tokent, vagy hozzon létre újat, és lépjen be újra az ügynökben
„Token has been revoked”	A tokent törölték a PAT tokenek képernyőn	Hozzon létre új tokent, és adja át az ügynöknek
„… writes data, which this token's scopes do not allow.”	Read Only, vagy az adott területen csak Read	Read & Write jogú token az adott területhez
„… needs the `inventory` scope, which this token does not have.”	A Custom Permissions alól hiányzik a terület	Adja hozzá a token Edit ablakában
IP_NOT_ALLOWED	A kérés a listán kívüli címről jön	Vegye fel a címet, vagy ürítse ki a listát
TOO_MANY_REQUESTS (429)	Több mint 300 kérés percenként a webshopra	Kérjen tömeges műveletet az ügynöktől ciklus helyett

Az Edit ablakban (kattintás a névre a listában) módosítja a nevet, a jogosultsági szintet, az IP-címeket és a lejáratot, a token értéke pedig ugyanaz marad. A CloudCart három API-ja és a REST API csomagonkénti korlátai a fejlesztőknek szóló oldalon szerepelnek, a személyes tokenek általános bevált gyakorlatairól pedig a GitHub dokumentációja is ír (angolul). Kérdés esetén a support@cloudcart.com címen segítünk.

Gyakori kérdések