Każdy projekt ma jeden klucz projektu i trzy sekrety. Twój serwer wysyła klucz projektu i jeden sekret przy każdym wywołaniu API.
Do czego służy każdy z nich
- Klucz projektu (zaczyna się od pk_): identyfikuje projekt. Sam w sobie nie jest tajny.
- Sekret produkcyjny (sk_live_): prawdziwe płatności. Działa po zatwierdzeniu projektu.
- Sekret testowy (sk_test_): tryb testowy. Działa od razu, także gdy projekt jest w weryfikacji.
- Sekret do podpisywania webhooków (whsec_): pozwala sprawdzić, czy webhooki naprawdę pochodzą od nas, zobacz Konfiguracja webhooków i podpis.
Sekrety pokazujemy raz
Przechowujemy sekrety w formie, której nie możemy odczytać, więc strona projektu pokazuje sekret tylko zaraz po jego utworzeniu. Trzymaj je w konfiguracji serwera, nigdy w kodzie front-endu ani w publicznym repozytorium.
Sekret zgubiony lub ujawniony?
Otwórz projekt i wygeneruj nowy obok sekretu, którego potrzebujesz. Stary sekret od razu przestaje działać, więc zaraz potem zaktualizuj serwer. Nowy sekret do podpisywania webhooków trzeba też zmienić wszędzie, gdzie sprawdzasz podpisy.
Ogranicz API do swoich serwerów
Dodaj adresy swoich serwerów do Listy dozwolonych IP dla API w ustawieniach projektu. Wywołania z innych adresów są odrzucane. Zostaw pole puste, aby dopuścić dowolny adres.
Strona projektu pokazuje też, ile wywołań API projekt wykonał w ciągu ostatnich 24 godzin. Wszystkie szczegóły znajdziesz w dokumentacji API.