Utilisation de la clé secrète (X-Secret)
Exemple d’en-tête
- Une clé secrète unique est associée à chaque compte d’opération.
- Elle est utilisée pour authentifier toutes les requêtes API.
- Elle est temporaire et doit être renouvelée périodiquement.
Point de terminaison
Méthode
POSTUrl de base
https://api.luckyfastpay.proChemin
/{codeUrl}/renew-secretPré-requis
- Une URL de réception de clé est configurée et ACTIVE dans l’espace marchand.
- Votre profil marchand est validé.
- Vous disposez du mot de passe d’opération requis pour la rotation.
Séquence de renouvellement
- Vous appelez l’endpoint `renew-secret` avec les paramètres requis.
- Lucky FastPay génère une nouvelle clé et l’expédie à l’URL de réception configurée.
- Votre serveur accuse réception (HTTP 200) pour confirmer la bonne livraison.
Paramètres requis
Envoyez les paramètres en `application/x-www-form-urlencoded`.
Paramètres
| Nom | Emplacement | Type | Obligatoire | Description |
|---|---|---|---|---|
accountOperationCode | query | string | Oui | Code du compte d'opération |
receptionUrlCode | query | string | Oui | Code de l'url de réception de la clé secrète |
password | query | string | Oui | Le mot de passe associé à l'api |
X-Secret-MediaType | header | string | Non | Le type de votre clé secrète |
codeUrl | path | string | Oui | Code url marchand |
Exemples
Exemple de requête
Réponse de confirmation
{
"status_code": "200",
"message": "Secret key generated and sent successfully"
}Exemple de livraison de la nouvelle clé (à votre URL de réception)
{
"operation_account_code": "ACC_672CD66E148BD",
"secret_key": "sk_live_xxx",
"expires_in": 3600
}Comportement et idempotence
- Chaque appel validé génère une nouvelle clé. Par défaut, considérez l’ancienne clé comme obsolète dès activation de la nouvelle.
- Si vous mettez en place un chevauchement (grace period), veillez à documenter la durée et le mode de bascule côté serveur.
- En cas d’appels répétés (doublons), la dernière clé reçue est celle à utiliser.
Bonnes pratiques de sécurité
- N’exposez jamais la clé côté client (web, mobile).
- Utilisez un gestionnaire de secrets (ex: Vault, AWS Secrets Manager).
- Autorisez uniquement des IPs de confiance vers votre URL de réception.
- Surveillez les tentatives échouées et limitez la fréquence des rotations.
- Réagissez à `AUTHENTICATION_FAILED` en déclenchant un renouvellement contrôlé.
Environnements
- Test: utilisez vos URLs et comptes d’opération de test.
- Production: remplacez URL/compte/clé de test par vos équivalents de production.
Erreurs fréquentes
| HTTP | Code | Cause | Exemple |
|---|---|---|---|
401 | AUTHENTICATION_FAILED | Clé expirée ou incorrecte | |
403 | SECRET_KEY_RECEPTION_URL_NOT_ACTIVE | L’URL de réception n’est pas active | |
400 | INVALID_SECRET_KEY_RECEPTION_URL_CODE | Code d’URL invalide dans la requête | |
FAQ
- Dois-je répondre à la livraison de clé ? → Oui, répondez 200 pour confirmer la réception.
- Combien de temps la clé est-elle valable ? → Définissez une politique interne claire.
- Que faire en cas de perte de la clé ? → Renouvelez immédiatement et purgez la clé compromise.