Вау! Вот оно, теперь всё работает!
1000 спасибо @simon
Проблема была именно в том, о чём вы упомянули:
sso и sig должны быть единственными двумя парами ключей в теле запроса,
а api-key и api-username должны находиться в заголовках.
2 лайка