الأمان

ثلاثة أشياء تفتح حسابك على AdProMaxPay: تسجيل دخول كل شخص في فريقك، ومفاتيح API الخاصة بك، وأسرار التوقيع لنقاط استقبال الـ webhook. تشرح هذه الصفحة كيف تحمي كلًّا منها، وما تفعله إذا احتُمل تسرّب أحدها.

تسجيل دخولكنسخ رابط القسم

• استخدم كلمة مرور قوية لا تستخدمها في أي مكان آخر.
• فعّل التحقق بخطوتين من صفحة الأمان في حسابك، باستخدام تطبيق مصادقة. هو اختياري في بيئة الاختبار، ونوصي به من الآن: سيصبح إلزاميًا للعمل في الوضع المباشر، وسيُطلب من جديد عند الإجراءات الحساسة مثل إنشاء مفتاح للوضع المباشر أو تغيير الفريق.
• راجع جلساتك. تعرض صفحة الأمان في حسابك الأجهزة التي سجّلت الدخول منها. أنهِ أي جلسة لا تعرفها، ثم غيّر كلمة مرورك.
• لا يطلب فريق AdProMaxPay أبدًا كلمة مرورك ولا رموز التحقق ولا مفاتيحك السرية. لا تعطها لأي شخص يطلبها، مهما قال.

مفاتيح APIنسخ رابط القسم

يتصرف المفتاح السري باسم مؤسستك كلها: من يملكه يستطيع إنشاء مدفوعات وعمليات استرداد ونقاط استقبال webhook في وضعه. تجد وصف أنواع المفاتيح في مفاتيح API الخاصة بك.

أبقِها على خادمكنسخ رابط القسم

• أبقِ المفاتيح السرية على خادمك، في متغير بيئة أو في مخزن أسرار. لا تضع أيًّا منها أبدًا في مستودع كود أو صفحة ويب أو تطبيق جوال أو لقطة شاشة أو تذكرة دعم.
• تبدأ المفاتيح السرية بـ apx_sk_، لتتعرف أدوات كشف الأسرار على أي مفتاح تسلل إلى الكود.
• استخدم مفتاحًا لكل خادم أو لكل استعمال، وسمِّه حسب استعماله («خادم المتجر»، «مهمة الفوترة»). يمكنك افتراضيًا أن تملك مفتاحين سريين نشطين ومفتاحين قابلين للنشر في كل وضع؛ وتعرض صفحة المطوّرون ← مفاتيح API عدد ما تستخدمه منها.
• يعرض كل مفتاح متى استُخدم آخر مرة، ومن أي عنوان IP. المفتاح المستخدم من عنوان لا تعرفه علامة إنذار. وتتيح المطوّرون ← سجلات الطلبات تصفية كل الطلبات حسب المفتاح.

تجديد مفتاحنسخ رابط القسم

يستبدل التجديد (roll) مفتاحًا دون أي انقطاع. تحصل فورًا على مفتاح جديد يُعرض هذه المرة فقط، وتختار المدة التي يظل فيها المفتاح القديم يعمل:

خلال هذه المدة يحمل المفتاح القديم حالة قيد التجديد مع عدّ تنازلي، ويظل محتسبًا ضمن حد مفاتيحك. وعند انقضاء المدة، تُرفض الطلبات التي تستخدمه بالرد 401، api_key_expired. ثبّت المفتاح الجديد في كل مكان قبل ذلك.

إبطال مفتاحنسخ رابط القسم

يوقف الإبطال المفتاح فورًا ونهائيًا. تُرفض الطلبات التي تستخدمه بالرد 401، api_key_revoked. أبطِل أي مفتاح لم تعد تستخدمه: كل مفتاح موجود قابل للتسرّب.

مفاتيح الوضع المباشرنسخ رابط القسم

تتوفر مفاتيح الوضع المباشر بعد تفعيل حسابك: انظر قائمة التحقق قبل الوضع المباشر. عاملها كما تعامل مفاتيح صندوق نقودك.

أسرار توقيع الـ webhookنسخ رابط القسم

لكل نقطة استقبال webhook سرّ توقيع خاص بها، apx_whsec_…، يُعرض مرة واحدة عند إنشاء نقطة الاستقبال. يستخدمه خادمك للتحقق من كل عملية تسليم.

• تحقّق من كل عملية تسليم، وارفض ما يبتعد طابعه الزمني عن ساعتك بأكثر من خمس دقائق.
• تستخدم نقاط الاستقبال https فقط. يُرفض أي عنوان خاص أو محلي.
• اعرض السرّ من جديد في صفحة إعدادات نقطة الاستقبال في لوحة التحكم، من المطوّرون ← Webhooks. ويُسجَّل كل عرض له.
• جدّد السرّ في الصفحة نفسها إذا احتُمل تسرّبه، أو على سبيل العادة. تختار المدة التي يظل فيها السرّ القديم يوقّع: لا شيء، أو ساعة واحدة، أو 24 ساعة. وخلالها تحمل كل عملية تسليم توقيعين، واحدًا لكل سرّ، ليقبلها إعدادك القديم والجديد معًا.

الأدوارنسخ رابط القسم

• امنح كل شخص أصغر دور يكفي لعمله: موظف الدعم يحتاج إلى دور الدعم لا إلى دور مسؤول. تجد وصف الأدوار في الفريق والأدوار.
• راجع فريقك من حين لآخر في الإعدادات ← الفريق.
• عندما يغادر أحدهم، أزله من الفريق، ثم جدّد المفاتيح وأسرار الـ webhook التي كان يستطيع رؤيتها.
• لمؤسستك مالك واحد. ويمكن تحويل الملكية إلى عضو آخر.

إذا احتُمل تسرّب مفتاحنسخ رابط القسم

1. جدّد المفتاح بخيار الآن، أو أبطِله. تحتاج خوادمك إلى المفتاح الجديد فورًا.
2. راجع المطوّرون ← سجلات الطلبات لذلك المفتاح: ابحث عن طلبات لم ترسلها.
3. ابحث عن مدفوعات أو عمليات استرداد أو نقاط استقبال webhook لم تنشئها، في الوضع نفسه.
4. إذا وصل المفتاح إلى مستودع كود، فأزله من سجل المستودع أيضًا: تجديد المفتاح جعل النسخة المسرّبة بلا فائدة أصلًا.

افعل الشيء نفسه مع سرّ الـ webhook: جدّده، ثم راجع عمليات التسليم لنقطة الاستقبال.

ما يفعله AdProMaxPay من جهتهنسخ رابط القسم

• لا تمر أرقام البطاقات عبر API أبدًا. تُكتب بيانات البطاقة في صفحة دفع آمنة، لا في صفحتك أبدًا؛ وتُرفض أي قيمة تشبه رقم بطاقة أينما وردت في الطلب.
• تحجب سجلات الطلبات الأسرار. تُخفى المفاتيح وأسرار الـ webhook وكلمات المرور والأرقام الشبيهة بأرقام البطاقات في سجلات الطلبات في لوحة التحكم.
• تُخزَّن المفاتيح السرية على شكل تجزئة بمفتاح (keyed hash). لا يمكن عرض المفتاح السري من جديد بعد إنشائه، لا من جهتك ولا من جهتنا: إذا ضاع مفتاح، فأنشئ مفتاحًا أو جدّد مفتاحًا.