Глоссарий
Ключ API
Ключ API — секрет, который сервер мерчанта предъявляет с каждым запросом к API платформы, чтобы доказать, что это именно этот мерчант: длинная случайная строка, выпущенная в кабинете мерчанта, часто в виде пары из публичного идентификатора и приватного секрета, которым подписываются запросы. Это учётные данные вроде пароля, за которыми не стоит человек, поэтому их нужно хранить в хранилище секретов, никогда не в коде и не в браузере, сменять при уходе людей или смене систем и немедленно отзывать при раскрытии.
Области и ограничения
Отдельные ключи для теста и боевой среды; ключи, ограниченные операциями, чтобы ключ, создающий платежи, не мог отправлять выплаты; ограничения по адресам серверов мерчанта; и подписи тела запроса секретом, чтобы перехваченный запрос нельзя было повторить или изменить. Вебхуки подписываются в обратную сторону — ключом, который мерчант может проверить.
Что может сделать утёкший ключ
Создавать платежи и, что хуже, выплаты от имени мерчанта, читать данные платежей и менять адреса вебхуков. Ущерб ограничен областями, лимитами и мониторингом: ключ выплат с дневным лимитом и ограничением по адресам утекает с куда меньшими последствиями, чем всемогущий.
На платформе
В Tranzify у каждого мерчанта собственные ключи, выпущенные в кабинете его сети, с раздельными боевыми и тестовыми ключами; запросы проверяются по ключам и лимитам мерчанта, каждый вызов журналируется с использованным ключом, а операционная команда лицензированного клиента может отзывать и перевыпускать ключи.
Обновлено: 2026-11-08