Hello Clever API の認証

​

始める前に

​

リクエストを認証する

curl --request GET \
  --url https://api.cleverhub.co/api/v2/payins/payin_methods \
  --header 'app-id: YOUR_APP_ID' \
  --header 'secret-key: YOUR_SECRET_KEY'

​

例外：v1 決済ゲートウェイのリンク用アクセストークン

curl --request GET \
  --url https://api-merchant.helloclever.co/api/v1/payment_gateways/access_token \
  --header 'app-id: YOUR_APP_ID' \
  --header 'secret-key: YOUR_SECRET_KEY'

{
  "access_token": "eyJhbGciOi...",
  "expires_in": 3600
}

curl --request POST \
  --url https://api-merchant.helloclever.co/api/v1/payment_gateways/create_payment \
  --header 'access-token: eyJhbGciOi...' \
  --header 'Content-Type: application/json' \
  --data '{ ... }'

​

セキュリティのベストプラクティス

• 認証情報は環境変数またはシークレット管理サービスに保管してください。 ソースコードや、バージョン管理にコミットされる設定ファイルには保存しないでください。
• secret-key を定期的にローテーションしてください。 漏えいが起きた場合の影響範囲を限定できます。
• すべての API 呼び出しで HTTPS を使ってください。 認証情報が暗号化された接続で送信されることを確保できます。
• アクセス範囲を分離してください。 環境、通貨、アプリケーションごとに個別の Payments Account（したがって個別の認証情報）を作成してください。
• 想定外の利用をモニタリングしてください。 Merchant Dashboard で確認することで、認証情報の悪用を早期に検出できます。
• secret-key を Webhook Secret Key と混同しないでください。 secret-key は Hello Clever API へ送る自社からのリクエストを認証するものです。Webhook Secret Key は別の認証情報で、Hello Clever がサーバーへ送る受信 Webhook のペイロードに署名するために使います。検証方法は Webhook を参照してください。