أفضل ممارسات أمان مفاتيح API

لا تكشف Secret Key أبداً

Secret Key الخاص بك (ik_live_sk_...) يجب ألا يظهر في كود الـ Frontend أو مستودعات Git أو JavaScript من جانب العميل. استخدم environment variables على سيرفرك.

استخدم Environment Variables

# .env
INZOPAY_SECRET_KEY=ik_live_sk_xxxxx

# PHP
$key = getenv('INZOPAY_SECRET_KEY');

استخدم Restricted Keys عند الإمكان

إذا كانت خدمة طرف ثالث تحتاج فقط قراءة بيانات المدفوعات، أنشئ Restricted Key بالصلاحيات الضرورية فقط بدل مشاركة Secret Key الكامل.

فعّل قائمة الـ IP المسموح بها

في المطورون ← مفاتيح API، أضف IP سيرفرك للقائمة. هذا يضمن أن طلبات API تأتي من سيرفرك فقط.

جدّد المفاتيح المخترقة فوراً

إذا شككت في تسرّب مفتاح، جدّده فوراً من صفحة مفاتيح API. المفتاح القديم يُلغى في الحال.