Ir para o conteúdo
Docs

Segurança

Como guardar chaves e segredos, validar webhooks e operar a integração com segurança.

Chaves e segredos

  • Guarde chaves de API e o segredo de webhook num cofre de segredos ou em variáveis de ambiente do servidor, nunca no código.
  • Use uma chave por sistema, com nome claro, para revogar uma sem parar as outras.
  • Mantenha o escopo payouts:write numa chave separada, usada só pelo serviço que envia saques.
  • Revogue na hora qualquer chave exposta em log, ticket, print ou repositório.

Webhooks

  • Valide a assinatura de toda entrega e rejeite o que não bater.
  • Use https e um caminho difícil de adivinhar no endpoint.
  • Ignore eventos com id já processado e não confie em dados de valor que não vieram assinados.
  • Trate o segredo whsec_ como uma senha. Se vazar, use Rotacionar segredo no endpoint, em Desenvolvedor › Webhooks.

Operação

  • Registre X-Request-Id, id e externalId de cada operação para conciliar e investigar.
  • Concilie diariamente com GET /v1/charges e GET /v1/payouts usando createdFrom e createdTo.
  • Não coloque dados sensíveis em metadata nem em description: eles voltam nas respostas e nos webhooks.
  • Ative a verificação em duas etapas para todos que acessam o painel. Quem acessa o painel pode criar chaves.
esc