У каждого проекта есть один ключ проекта и три секрета. В каждом вызове API ваш сервер передаёт ключ проекта и один из секретов.
Зачем нужен каждый
- Ключ проекта (начинается с pk_): определяет проект. Сам по себе не секретный.
- Боевой секрет (sk_live_): реальные платежи. Работает после одобрения проекта.
- Тестовый секрет (sk_test_): тестовый режим. Работает сразу, в том числе пока проект на проверке.
- Секрет подписи вебхуков (whsec_): позволяет убедиться, что вебхуки действительно от нас, см. Настройка вебхуков и проверка подписи.
Секреты показываются один раз
Мы храним секреты в виде, который не можем прочитать обратно, поэтому страница проекта показывает секрет только сразу после его создания. Храните их в конфигурации сервера — никогда во фронтенд-коде или публичном репозитории.
Потеряли секрет или он утёк?
Откройте проект и создайте новый рядом с нужным секретом. Старый секрет сразу перестаёт работать, поэтому сразу обновите сервер. Новый секрет подписи вебхуков нужно также заменить везде, где вы проверяете подписи.
Ограничьте API своими серверами
Добавьте адреса своих серверов в Белый список IP для API в настройках проекта. Вызовы с других адресов будут отклоняться. Оставьте поле пустым, чтобы разрешить любой адрес.
На странице проекта также видно, сколько вызовов API проект сделал за последние 24 часа. Все подробности — в справочнике API.