Todo projeto tem uma chave do projeto e três segredos. O seu servidor envia a chave do projeto e um dos segredos em cada chamada à API.
Para que serve cada um
- Chave do projeto (começa com pk_): identifica o projeto. Sozinha, não é secreta.
- Segredo live (sk_live_): pagamentos reais. Funciona quando o projeto é aprovado.
- Segredo de teste (sk_test_): modo de teste. Funciona na hora, inclusive enquanto o projeto está em análise.
- Segredo de assinatura do webhook (whsec_): confirma que os webhooks vêm mesmo de nós, veja Configure webhooks e verifique assinaturas.
Os segredos aparecem só uma vez
Guardamos os segredos de um jeito que nem nós conseguimos ler de volta, então a página do projeto mostra um segredo só logo depois de criado. Guarde-os na configuração do seu servidor, nunca no código do front-end nem em um repositório público.
Perdeu ou vazou um segredo?
Abra o projeto e gere um novo ao lado do segredo de que você precisa. O segredo antigo para de funcionar na hora, então atualize o seu servidor logo em seguida. Um novo segredo de assinatura do webhook também precisa ser atualizado onde você verifica as assinaturas.
Restrinja a API aos seus servidores
Adicione os endereços dos seus servidores em Lista de IPs permitidos na API, nas configurações do projeto. Chamadas de qualquer outro lugar são recusadas. Deixe em branco para permitir qualquer endereço.
A página do projeto também mostra quantas chamadas à API o projeto fez nas últimas 24 horas. Todos os detalhes estão na referência da API.