API integracijų apsauga
Integracija turi veikti pirmą darbo dieną ir neatverti naujų durų į jūsų sąskaitas, todėl ją planuojame kartu su jūsų kūrėjais.
Kiekviena nauja integracija yra naujos durys į jūsų sistemą. Banko API pagal PSD2, mokėjimų šliuzas, buhalterinė programa, logistikos partneris: visi jie gauna raktus, teises ir kanalą į jūsų duomenis. Problemos prasideda nuo smulkmenų. Raktas, palikta konfigūracijos faile kode. Webhook adresas, kuris priima bet kokią užklausą be parašo tikrinimo. Prieigos teisės, suteiktos „kol kas visos“, nes taip greičiau pradėti. Pasikartojantis užklausos siuntimas, dėl kurio pirkėjas apmokestinamas dukart. Visa tai veikia gerai iki pirmos nesėkmės.
Kaip dirbame
Integraciją projektuojame kartu su jūsų kūrėjais dar prieš rašant kodą. Nubraižome duomenų srautus ir kiekvienam partneriui nustatome minimalias reikalingas teises. Tada įdiegiame apsaugos sluoksnius, kurie tinka jūsų architektūrai:
- OAuth 2.0 su siauromis teisių sritimis ir trumpalaikiais prieigos žetonais;
- abipusį TLS ten, kur partneris jį palaiko, ypač bankų jungtims;
- HMAC parašų tikrinimą visiems gaunamiems webhook pranešimams;
- idempotencijos raktus mokėjimų užklausoms, kad pakartotinis siuntimas nesukurtų antros operacijos;
- slaptų raktų laikymą saugykloje ir reguliarų jų keitimą be prastovos;
- užklausų dažnio ribojimą ir neįprastų kreipinių registravimą.
Viską pirmiausia išbandome smėlio dėžės aplinkoje, įskaitant nesėkmės scenarijus: ką daro jūsų sistema, kai bankas neatsako, kai ateina pasenęs pranešimas ar kai raktas nebegalioja.
Ką gaunate
Integraciją, kuri veikia pirmą darbo dieną ir nepalieka atvirų galų. Dokumentaciją, kurioje aprašyta, kas turi kokias teises ir kaip keičiami raktai, kad nauja komandos narė galėtų perimti darbą be spėliojimų. Žurnalus, iš kurių matyti kiekvienas kreipinys į jūsų API. Ir aiškų planą, ką daryti, jei kurio nors partnerio raktas atsidurtų ne ten, kur turėtų. Kainą nurodome pagal užklausą, įvertinę integracijų skaičių ir sudėtingumą.
Galimybės, kurias apima paslauga API integracijų apsauga
- ✓
Raktų valdymas
API raktai turi galiojimo laiką, aiškias teises ir keičiami be prastovų jūsų sistemoms.
- ✓
Testinė aplinka
Jūsų kūrėjai išbando mokėjimus smėlio dėžėje, kur klaida nekainuoja nė cento.
- ✓
Užklausų ribojimas
Nustatome, kiek užklausų sistema gali siųsti, kad netikėtas srautas nesutrikdytų mokėjimų.
- ✓
Pranešimų tikrinimas
Kiekvienas grįžtamasis pranešimas pasirašomas, todėl jūsų sistema žino, kad jis tikrai atėjo iš mūsų.
Užsakyti API integracijų apsauga
Užsisakykite pokalbį su mūsų specialistais. Kartu pritaikysime paslaugą API integracijų apsauga jūsų mokėjimų eigai ir parengsime aiškų planą, be jokių įsipareigojimų.
Užsakyti demonstraciją