Авторизация
Различайте серверную интеграцию и сессию кабинета.
Основная интеграция: POST /v2/payment-sessions и GET /v2/payment-sessions/:id используют секретный ключ проекта, задающий проект и Test/Live. См. API v2. Публичный checkout использует X-Checkout-Token, а не секрет проекта. API управления — отдельная JWT-поверхность кабинета. Смените раскрытые ключи; старые нескомпрометированные webhook-секреты могут требоваться для существующих доставок.
Секретный ключ проекта
Передавайте X-Api-Key: YOUR_PROJECT_SECRET_KEY только с сервера. Поддерживается и Bearer-авторизация секретным ключом. sk_live_... или sk_test_... определяет проект и режим. Храните секрет вне браузера, мобильного приложения, исходного кода, URL и журналов.
JWT кабинета
Проекты, кошельки, ключи, webhook, биллинг, treasury и реферальные данные управляются сессией кабинета: Bearer access token и HttpOnly refresh cookie. Для операций проекта также используется X-Project-Id.
Для сервера магазина используйте документированный /v2/payment-sessions либо существующий /v1/invoices. Не воспроизводите управление сессией кабинета без необходимости.