Bonnes pratiques de sécurité pour vos clés API

N'exposez jamais votre clé secrète

Votre clé secrète (ik_live_sk_...) ne doit jamais apparaître dans du code front-end, dans des dépôts Git ou dans du JavaScript côté client. Utilisez des variables d'environnement sur votre serveur.

Utilisez des variables d'environnement

# .env
INZOPAY_SECRET_KEY=ik_live_sk_xxxxx

# PHP
$key = getenv('INZOPAY_SECRET_KEY');

Utilisez des clés restreintes dès que possible

Si un service tiers a seulement besoin de lire les données de paiement, créez une clé restreinte limitée aux portées nécessaires plutôt que de partager votre clé secrète complète.

Activez la liste d'adresses IP autorisées

Dans Développeurs → Clés API, ajoutez l'adresse IP de votre serveur à la liste autorisée. Ainsi, les appels à l'API ne pourront provenir que de votre serveur.

Renouvelez immédiatement toute clé compromise

Si vous pensez qu'une clé a été exposée, renouvelez-la tout de suite depuis la page Clés API. L'ancienne clé est invalidée instantanément.