Sécurité

Trois choses ouvrent votre compte AdProMaxPay : la connexion de chaque personne de votre équipe, vos clés d’API, et les secrets de signature de vos endpoints de webhook. Cette page dit comment protéger chacune, et que faire quand l’une d’elles a pu fuiter.

Votre connexionCopier le lien de la section

• Utilisez un mot de passe solide que vous n’utilisez nulle part ailleurs.
• Activez la vérification en deux étapes sur la page de sécurité de votre compte, avec une application d’authentification. Elle est facultative dans le bac à sable, et nous la recommandons dès maintenant : elle sera obligatoire pour travailler en production, et redemandée pour les actions sensibles comme la création d’une clé de production ou un changement dans l’équipe.
• Vérifiez vos sessions. La page de sécurité de votre compte liste les endroits où vous êtes connecté. Fermez une session que vous ne reconnaissez pas, puis changez votre mot de passe.
• L’équipe AdProMaxPay ne demande jamais votre mot de passe, vos codes de vérification ni vos clés secrètes. Ne les donnez à personne qui les demande, quoi qu’on vous dise.

Clés d’APICopier le lien de la section

Une clé secrète agit pour toute votre organisation : qui la détient peut créer des paiements, des remboursements et des endpoints de webhook dans son mode. Les sortes de clés sont décrites dans Vos clés d’API.

Gardez-les sur votre serveurCopier le lien de la section

• Gardez les clés secrètes sur votre serveur, dans une variable d’environnement ou un coffre à secrets. Ne les mettez jamais dans un dépôt de code, une page web, une application mobile, une capture d’écran ou un ticket de support.
• Les clés secrètes commencent par apx_sk_, pour que les détecteurs de secrets reconnaissent celle qui se serait glissée dans du code.
• Utilisez une clé par serveur ou par usage, et nommez-la d’après son usage (« Serveur de la boutique », « Tâche de facturation »). Vous pouvez détenir 2 clés secrètes actives et 2 clés publiables par mode par défaut ; la page Développeurs → Clés d’API montre combien vous en utilisez.
• Chaque clé montre quand, et depuis quelle adresse IP, elle a servi pour la dernière fois. Une clé utilisée depuis une adresse inconnue est un signal d’alerte. Développeurs → Journaux de requêtes filtre chaque requête par clé.

Renouveler une cléCopier le lien de la section

Renouveler (roll) remplace une clé sans interruption. Vous recevez tout de suite une nouvelle clé, affichée cette seule fois, et choisissez combien de temps l’ancienne continue de fonctionner :

Pendant ce temps, l’ancienne clé est marquée En renouvellement avec un compte à rebours, et compte toujours dans votre limite de clés. Une fois le délai passé, les requêtes qui l’utilisent répondent 401, api_key_expired. Installez la nouvelle clé partout avant.

Révoquer une cléCopier le lien de la section

Révoquer arrête une clé tout de suite et pour de bon. Les requêtes qui l’utilisent répondent 401, api_key_revoked. Révoquez une clé que vous n’utilisez plus : une clé qui existe peut fuiter.

Clés de productionCopier le lien de la section

Les clés de production existent une fois votre compte actif : voir la liste de passage en production. Traitez-les comme les clés de votre caisse.

Secrets de signature des webhooksCopier le lien de la section

Chaque endpoint de webhook a son propre secret de signature, apx_whsec_…, affiché une seule fois à la création de l’endpoint. Votre serveur s’en sert pour vérifier chaque envoi.

• Vérifiez chaque envoi, et refusez celui dont l’horodatage s’écarte de plus de cinq minutes de votre horloge.
• Les endpoints utilisent https uniquement. Une adresse privée ou locale est refusée.
• Affichez à nouveau le secret sur la page de réglages de l’endpoint dans le tableau de bord, sous Développeurs → Webhooks. Chaque affichage est enregistré.
• Renouvelez le secret sur la même page s’il a pu fuiter, ou par habitude. Vous choisissez combien de temps l’ancien secret continue de signer : pas du tout, une heure ou 24 heures. Pendant ce temps, chaque envoi porte deux signatures, une par secret, pour que votre ancienne et votre nouvelle configuration l’acceptent toutes les deux.

RôlesCopier le lien de la section

• Donnez à chaque personne le plus petit rôle qui suffit à son travail : un agent du support a besoin de Support, pas d’Administrateur. Les rôles sont décrits dans Équipe et rôles.
• Passez votre équipe en revue de temps en temps dans Paramètres → Équipe.
• Quand quelqu’un part, retirez-le, puis renouvelez les clés et les secrets de webhook qu’il pouvait voir.
• Votre organisation a un seul Propriétaire. La propriété peut être transférée à un autre membre.

Si une clé a pu fuiterCopier le lien de la section

1. Renouvelez la clé avec Maintenant, ou révoquez-la. Vos serveurs ont besoin de la nouvelle clé tout de suite.
2. Lisez Développeurs → Journaux de requêtes pour cette clé : cherchez les requêtes que vous n’avez pas envoyées.
3. Cherchez les paiements, remboursements ou endpoints de webhook que vous n’avez pas créés, dans le même mode.
4. Si la clé a atteint un dépôt de code, retirez-la aussi de l’historique du dépôt : le renouvellement a déjà rendu la copie fuitée inutile.

Faites de même pour un secret de webhook : renouvelez-le, puis vérifiez les envois de l’endpoint.

Ce que fait AdProMaxPay de son côtéCopier le lien de la section

• Les numéros de carte ne transitent jamais par l’API. Les données de carte se saisissent sur une page de paiement sécurisée, jamais sur la vôtre ; une valeur qui ressemble à un numéro de carte est refusée partout dans une requête.
• Les journaux de requêtes masquent les secrets. Les clés, les secrets de webhook, les mots de passe et les nombres qui ressemblent à des numéros de carte sont cachés dans les journaux de requêtes du tableau de bord.
• Les clés secrètes sont stockées sous forme d’empreinte à clé. Une clé secrète ne peut plus être affichée après sa création, ni par vous ni par nous : quand une clé est perdue, créez ou renouvelez une clé.