Authentification et sécurité

Les endpoints marchands s’authentifient avec la clé secrète associée à l’environnement du compte.

En-têtes requis

Content-Type: application/json
Authorization: Bearer <cle_secrete>
Ipay-Target-Environment: sandbox
Ipay-Payment-Type: mobile

En-tête	Règle
Content-Type	Utilisez exactement application/json.
Authorization	Utilisez le préfixe Bearer suivi de la clé secrète.
Ipay-Target-Environment	Valeur sandbox ou live, cohérente avec la clé.
Ipay-Payment-Type	Moyen de paiement autorisé pour le compte et l’environnement.

Protéger les clés

• Placez la clé secrète dans un gestionnaire de secrets ou une variable d’environnement serveur.
• Ne l’intégrez jamais dans du JavaScript frontend, une application mobile, une capture d’écran ou un dépôt Git.
• Utilisez des clés différentes pour Sandbox et Live.
• Après une régénération, mettez à jour les services concernés avant de retirer l’ancienne configuration.
• Journalisez la référence et le code HTTP, mais jamais l’en-tête Authorization.

Webhooks

iPayMoney envoie le secret configuré dans l’en-tête Secret-Hash. Il s’agit d’une valeur à comparer avec votre secret côté serveur, pas d’une signature HMAC du corps de la requête.

Votre endpoint doit utiliser HTTPS, refuser une valeur incorrecte, traiter les notifications de manière idempotente et confirmer le statut auprès de l’API lorsque l’opération déclenche une action sensible.

Réponses d’authentification

Code	Signification
400	En-tête absent, environnement ou type de paiement non autorisé, format Bearer absent.
401	Aucune clé valide ne correspond à l’environnement demandé.
403	Le compte ou l’environnement n’est pas disponible.
406	Le Content-Type n’est pas application/json.

Consulter tous les codes d’erreur