Buenas prácticas de seguridad para tus claves de API

Nunca expongas tu clave secreta

Tu clave secreta (ik_live_sk_...) no debe aparecer nunca en código del lado del cliente, repositorios de Git ni JavaScript del navegador. Usa variables de entorno en tu servidor.

Usa variables de entorno

# .env
INZOPAY_SECRET_KEY=ik_live_sk_xxxxx

# PHP
$key = getenv('INZOPAY_SECRET_KEY');

Usa claves restringidas siempre que sea posible

Si un servicio de terceros solo necesita leer datos de pagos, crea una clave restringida con únicamente los permisos necesarios en lugar de compartir tu clave secreta completa.

Activa la lista de IP permitidas

En Desarrolladores → Claves de API, añade la IP de tu servidor a la lista de permitidas. Así las llamadas a la API solo podrán venir de tu servidor.

Rota de inmediato las claves comprometidas

Si sospechas que una clave ha quedado expuesta, rótala de inmediato desde la página de Claves de API. La clave anterior queda invalidada al instante.