Segurança
Boas práticas
O que evita dor de cabeça com saldo, tokens e keys.
Tokens
| Faça | Por quê |
|---|---|
| Use o token só no servidor. | No computador do cliente, qualquer um leria o token e gastaria o seu saldo. |
| Um token por sistema, com um nome que diga onde ele está. | Se um vazar, você apaga só ele. |
| Marque só as permissões necessárias. | Um token de consulta que vaza não gasta crédito. |
| Prefira tokens com validade. | Um token esquecido deixa de funcionar sozinho. |
Gerar keys
| Faça | Por quê |
|---|---|
Crie uma Idempotency-Key por venda e guarde junto dela. | Repetir depois de um erro de rede devolve as mesmas keys, sem cobrar de novo. |
Confira available antes de gerar. | Produto indisponível não gera key. |
Mande days com uma das durações de plans. | Duração que o produto não tem é recusada. |
Guarde generation_id, user_id e key_code. | São o que liga o extrato e o suporte às keys que você entregou. |
Chamadas
| Faça | Por quê |
|---|---|
| Use um tempo limite (timeout) de uns 30 segundos. | Sem ele, uma conexão travada prende o seu sistema. |
Em erro de rede ou 500, repita com a mesma Idempotency-Key. | A API reconhece a repetição e não gera de novo. |
Em 429, espere os segundos de Retry-After. | Insistir antes disso só gera mais 429. |
| Guarde a lista de produtos por alguns minutos. | O catálogo muda pouco, e cada chamada conta no limite. |
Consulte keys específicas com user_ids[]. | É mais rápido que trazer a lista inteira. |
Toda chamada fica registrada do nosso lado, com data, IP e resultado.