Überblick
Die Zugangsdaten aktivieren Online-Zahlungsintegrationen. Das Secret muss im Backend bleiben und darf nicht in Repositories oder öffentliche Oberflächen gelangen.
Das Secret ist vertraulich.
Das Secret darf nur im Backend und in geeigneten Secret-Tresoren liegen.
Neu erzeugen macht den vorherigen Schlüssel ungültig.
Planen Sie den Wechsel des Secrets, um Ausfälle während der Rotation zu vermeiden.
So erhalten Sie sie
- Öffnen Sie das IO-Digitalkonto.
- Gehen Sie zu Verkäufe → Online-Zahlungen.
- Aktivieren Sie Online-Zahlungen, sofern für die Registrierung zutreffend.
- Erzeugen Sie die Zugangsdaten und speichern Sie die Werte in einer sicheren Umgebung.
- Richten Sie die Zahlungsarten und abschliessend die Integrationsoptionen des Checkouts ein.
Felder
| Schlüssel | Funktion | Hinweis |
|---|---|---|
email | Mit der Integration verknüpfte Identifikation. | Wird bei der Authentifizierung gesendet. |
io_seller_id | Kennung des Sellers/Kontos im IOPAY-Kontext. | Wird bei der Authentifizierung gesendet und im Kontext des Vorgangs verwendet. |
secret | Authentifizierungsgeheimnis. | Wird bei der Authentifizierung gesendet. Nie im Frontend offenlegen. |
antifraud_id | Kennung im Zusammenhang mit dem Betrugspräventionsplan. | Nicht erforderlich, wenn das Konto keinen aktiven Betrugspräventionsplan hat. |
Integration authentifizieren
Senden Sie email, secret und io_seller_id, um das Token für die nächsten API-Aufrufe zu erhalten.
curl --request POST \
--url https://api.iopay.com.br/api/auth/login \
--header 'Content-Type: application/json' \
--data '{
"email": "your_email",
"secret": "your_secret",
"io_seller_id": "<IO_SELLER_ID>"
}'Rückgabe
{
"access_token": "<ACCESS_TOKEN>",
"token_type": "bearer",
"token_scope": "transaction",
"expires_in": 3600
}access_token als Authorization: Bearer your_token in den nächsten API-Aufrufen.Einrichtung
Nach den Zugangsdaten kann die Einrichtung der Online-Zahlungen Kredit, Pix und Boletos, Anzahl der Raten und Checkout-Parameter umfassen.
Benachrichtigungs-URL.
Geben Sie eine HTTPS-URL an, um Benachrichtigungen aus dem Betrieb zu empfangen.
HTTPS-Beschränkung.
Beschränken Sie Integrationen auf die erwartete Domain, wenn die Konfiguration dies erfordert.
Logo-URL.
Verknüpfen Sie eine HTTP/HTTPS-Logo-URL mit kompatiblen Integrationen.
Best Practices
- Speichern Sie Secrets in Umgebungsvariablen oder Secret-Managern.
- Senden Sie das Secret nicht in im Browser ausgeführtem JavaScript.
- Trennen Sie Sandbox/Tests und Produktion.
- Planen Sie die Schlüsselrotation ohne Unterbrechung der Verarbeitung.
- Protokollieren Sie, wer in internen Umgebungen Zugangsdaten geändert hat.