Autorisation

Les méthodes API protégées nécessitent une autorisation avec une signature HMAC-SHA256.

Required headers

Chaque requête doit contenir trois en-têtes obligatoires :

Signature generation

La signature est générée à partir du timestamp et du corps de la requête.

Format description

Algorithme de signature :

• Obtenez l'heure Unix actuelle en secondes
• Obtenez le corps de la requête
• Convertissez le JSON au format canonique
• Formez la chaîne : timestamp + "." + canonicalBody
• Signez la chaîne avec HMAC-SHA256 en utilisant api_secret
• Transmettez le timestamp et la signature dans les en-têtes de la requête

Exigences importantes :

• api_secret ne doit pas être transmis dans la requête
• api_secret doit être stocké uniquement côté serveur du marchand
• La signature doit être calculée séparément pour chaque requête
• X-Timestamp doit correspondre au moment de génération de la signature
• Le corps de la requête envoyé à l'API doit correspondre exactement au corps utilisé pour calculer la signature
• Pour les requêtes sans corps, la chaîne signée a le format : {timestamp}

Exemples :

PHPPythonJS

Authorization errors

{
  "status": 401,
  "message": "Invalid X-Timestamp"
}

{
  "status": 401,
  "message": "Expired X-Timestamp"
}

{
  "status": 401,
  "message": "Invalid X-Signature"
}

{
  "status": 401,
  "message": "Invalid token"
}

{
  "status": 401,
  "message": "Merchant secret not configured"
}

{
  "status": 500,
  "message": "Internal Server Error"
}