Авторизація
Розрізняйте серверну інтеграцію та сесію кабінету.
Основна інтеграція: POST /v2/payment-sessions і GET /v2/payment-sessions/:id використовують секретний ключ проєкту, що визначає проєкт і Test/Live. Див. API v2. Публічний checkout використовує X-Checkout-Token, а не секрет проєкту. API керування — окрема JWT-поверхня кабінету. Замініть розкриті ключі; старі нескомпрометовані webhook-секрети можуть бути потрібні для наявних доставок.
Секретний ключ проєкту
Передавайте X-Api-Key: YOUR_PROJECT_SECRET_KEY лише із сервера. Підтримується також Bearer-авторизація секретним ключем. sk_live_... або sk_test_... визначає проєкт і режим. Зберігайте секрет поза браузером, мобільним застосунком, вихідним кодом, URL та журналами.
JWT кабінету
Проєкти, гаманці, ключі, webhook, білінг, treasury та реферальні дані керуються сесією кабінету: Bearer access token і HttpOnly refresh cookie. Для операцій проєкту також використовується X-Project-Id.
Для сервера магазину використовуйте документований /v2/payment-sessions або наявний /v1/invoices. Не відтворюйте керування сесією кабінету без потреби.