Cada proyecto tiene una clave del proyecto y tres secretos. Tu servidor envía la clave del proyecto y uno de los secretos en cada llamada a la API.
Para qué sirve cada uno
- Clave del proyecto (empieza por pk_): identifica el proyecto. Por sí sola no es secreta.
- Secreto real (sk_live_): pagos reales. Funciona cuando el proyecto está aprobado.
- Secreto de prueba (sk_test_): modo de prueba. Funciona desde el primer momento, también mientras el proyecto está en revisión.
- Secreto de firma del webhook (whsec_): comprueba que los webhooks vienen realmente de nosotros; consulta Configura webhooks y verifica la firma.
Los secretos se muestran una sola vez
Guardamos los secretos de forma que no podemos volver a leerlos, así que la página del proyecto solo muestra un secreto justo después de crearlo. Guárdalos en la configuración de tu servidor, nunca en el código del front-end ni en un repositorio público.
¿Has perdido o filtrado un secreto?
Abre el proyecto y genera uno nuevo junto al secreto que necesitas. El secreto anterior deja de funcionar al momento, así que actualiza tu servidor justo después. Un nuevo secreto de firma del webhook también hay que actualizarlo allí donde verifiques las firmas.
Limita la API a tus servidores
Añade las direcciones de tus servidores en IP permitidas para la API, en los ajustes del proyecto. Las llamadas desde cualquier otro sitio se rechazan. Déjalo vacío para permitir cualquier dirección.
La página del proyecto también muestra cuántas llamadas a la API hizo el proyecto en las últimas 24 horas. Todos los detalles están en la referencia de la API.