Bonnes pratiques de sécurité

Ce qu’il faut faire (et ne jamais faire) dans votre intégration.

Dans le logiciel distribué

• N’embarquez jamais de clé API, de secret de signature ou de secret de webhook.
• Vérifiez systématiquement la signature des réponses et le nonce.
• Ne désactivez jamais la vérification des certificats TLS.
• Hachez localement l’identifiant d’appareil avec un sel propre au logiciel.
• Gardez les fonctionnalités critiques côté serveur : la vérification locale peut être contournée.

Sur vos serveurs

• Clés API à scopes minimaux, restreintes à une application si possible, avec signature HMAC obligatoire.
• Stockez les secrets dans un gestionnaire de secrets ; renouvelez-les avec période de grâce.
• Utilisez Idempotency-Key pour toute création déclenchée par un paiement.
• Vérifiez les webhooks sur le corps brut, rejetez les horodatages anciens, dédupliquez sur Keyline-Event-Id.

Comptes

• Activez la double authentification (ou une passkey) pour tous les membres.
• Donnez le rôle le plus restreint suffisant (Support et Read Only existent pour cela).
• Surveillez le journal d’audit et révoquez les sessions inconnues.