Jedes Projekt hat einen Projektschlüssel und drei Secrets. Dein Server sendet bei jedem API-Aufruf den Projektschlüssel plus eines der Secrets.
Wofür sie da sind
- Projektschlüssel (beginnt mit pk_): identifiziert das Projekt. Für sich allein nicht geheim.
- Live-Secret (sk_live_): echte Zahlungen. Funktioniert, sobald das Projekt freigegeben ist.
- Test-Secret (sk_test_): Testmodus. Funktioniert sofort, auch während das Projekt in Prüfung ist.
- Webhook-Signing-Secret (whsec_): prüft, ob Webhooks wirklich von uns kommen, siehe Webhooks einrichten und Signaturen prüfen.
Secrets werden nur einmal angezeigt
Wir speichern Secrets so, dass wir sie nicht zurücklesen können, daher zeigt die Projektseite ein Secret nur direkt nach dem Erzeugen. Bewahre sie in der Konfiguration deines Servers auf, niemals im Frontend-Code oder in einem öffentlichen Repository.
Secret verloren oder geleakt?
Öffne das Projekt und erzeuge neben dem betroffenen Secret ein neues. Das alte Secret hört sofort auf zu funktionieren, also aktualisiere direkt danach deinen Server. Ein neues Webhook-Signing-Secret musst du auch überall dort eintragen, wo du Signaturen prüfst.
API auf deine Server beschränken
Trag die Adressen deiner Server in der API-IP-Allowlist in den Projekteinstellungen ein. Aufrufe von anderswo werden abgelehnt. Lass das Feld leer, um jede Adresse zu erlauben.
Die Projektseite zeigt außerdem, wie viele API-Aufrufe das Projekt in den letzten 24 Stunden gemacht hat. Alle Details stehen in der API-Referenz.