Ủy quyền

Các phương thức API được bảo vệ yêu cầu ủy quyền bằng chữ ký HMAC-SHA256.

Required headers

Mỗi yêu cầu phải chứa ba header bắt buộc:

Signature generation

Chữ ký được tạo dựa trên timestamp và nội dung yêu cầu.

Format description

Thuật toán chữ ký:

• Lấy thời gian Unix hiện tại tính bằng giây
• Lấy nội dung yêu cầu
• Chuyển JSON sang định dạng canonical
• Tạo chuỗi: timestamp + "." + canonicalBody
• Ký chuỗi bằng HMAC-SHA256 với api_secret
• Truyền timestamp và chữ ký trong header của yêu cầu

Yêu cầu quan trọng:

• Không được truyền api_secret trong yêu cầu
• api_secret chỉ được lưu ở phía máy chủ của merchant
• Chữ ký phải được tính riêng cho từng yêu cầu
• X-Timestamp phải khớp với thời điểm tạo chữ ký
• Nội dung yêu cầu gửi tới API phải khớp hoàn toàn với nội dung dùng để tính chữ ký
• Với yêu cầu không có body, chuỗi được ký có dạng: {timestamp}

Ví dụ:

PHPPythonJS

Authorization errors

{
  "status": 401,
  "message": "Invalid X-Timestamp"
}

{
  "status": 401,
  "message": "Expired X-Timestamp"
}

{
  "status": 401,
  "message": "Invalid X-Signature"
}

{
  "status": 401,
  "message": "Invalid token"
}

{
  "status": 401,
  "message": "Merchant secret not configured"
}

{
  "status": 500,
  "message": "Internal Server Error"
}