Кожен проєкт має один ключ проєкту й три секрети. У кожному виклику API ваш сервер передає ключ проєкту та один із секретів.
Навіщо кожен
- Ключ проєкту (починається з pk_): визначає проєкт. Сам по собі не секретний.
- Бойовий секрет (sk_live_): справжні платежі. Працює після схвалення проєкту.
- Тестовий секрет (sk_test_): тестовий режим. Працює одразу, зокрема поки проєкт на перевірці.
- Секрет підпису вебхуків (whsec_): дає змогу переконатися, що вебхуки справді від нас, див. Налаштування вебхуків і перевірка підпису.
Секрети показуються один раз
Ми зберігаємо секрети у вигляді, який не можемо прочитати назад, тому сторінка проєкту показує секрет лише одразу після його створення. Зберігайте їх у конфігурації сервера — ніколи у фронтенд-коді чи публічному репозиторії.
Втратили секрет або він витік?
Відкрийте проєкт і створіть новий поруч із потрібним секретом. Старий секрет одразу перестає працювати, тож відразу оновіть сервер. Новий секрет підпису вебхуків також треба замінити всюди, де ви перевіряєте підписи.
Обмежте API своїми серверами
Додайте адреси своїх серверів у Дозволені IP для API в налаштуваннях проєкту. Виклики з інших адрес буде відхилено. Залиште поле порожнім, щоб дозволити будь-яку адресу.
На сторінці проєкту також видно, скільки викликів API проєкт зробив за останні 24 години. Усі подробиці — в довіднику API.