Todennus ja API-avaimet

Todenna palvelinten väliset pyynnöt salaisella API-avaimella Authorization-otsakkeessa:

GET /v1/payment-intents HTTP/1.1
Host: api.feitpay.com
Authorization: Bearer gp_live_YOUR_KEY

Avaintyypit

Etuliite	Ympäristö	Säilytyspaikka	Tila
`gp_live_…`	Live LIVE · tilin aktivoinnin jälkeen	Palvelimesi tai salaisuuksien hallintajärjestelmä	Saatavilla kohdassa Integrointi → API-avaimet, kun tilisi on aktivoitu; sitä ennen luonti torjutaan koodilla `live_keys_disabled`

Tämä alusta toimii vain live-tilassa: live-avaimet ovat ainoat API-avaimet, ja jokainen niillä tehty pyyntö kohdistuu todellisiin maksuihin. Avain määrää organisaation ja ympäristön. API-avaimia käytettäessä FeitPay-Organization-otsake ohitetaan, eikä pyyntöjen rungoissa lähetettyihin vuokralaistunnisteisiin (tenant id) koskaan luoteta.

Käyttöoikeudet

Anna kullekin avaimelle vain ne oikeudet, joita se tarvitsee. Käyttöoikeudet määritetään avaimen luonnissa; jos haluat muuttaa niitä, luo uusi avain.

Käyttöoikeus	Sallii
`payments:read` / `payments:write`	Maksuaikomukset, kassaistunnot, aikajanat, transaktiot
`invoices:read` / `invoices:write`	Laskut
`links:read` / `links:write`	Maksulinkit
`wallets:read` / `wallets:write`	Vastaanottolompakot ja omistajuustodisteet
`webhooks:read` / `webhooks:write`	Webhook-päätepisteet, toimitukset, tapahtumat, salaisuuden vaihtaminen
`stores:read`	Kaupat ja brändäys
`customers:read`	Maksuaikomuksista johdetut asiakkaat
`reports:read`	Maksu- ja täsmäytysraportit
`reconciliation:read`	Poikkeamat
`billing:read`	Alustan laskut ja käyttö
`audit:read`	Organisaation auditointiloki
`balances:read`	Säilytyksessä olevat saldot
`payouts:read` / `payouts:write`	Nostojen, nostettavien varojen ja sallittujen osoitteiden lukeminen; nostojen pyytäminen ja peruminen. Nostojen hyväksyminen sekä osoitteiden lisääminen ja poistaminen edellyttävät hallintapaneelin istuntoa

Avaimen käyttöoikeuksien ulkopuolinen pyyntö epäonnistuu virheellä permission_error. Avaimet voi halutessaan rajata yhteen kauppaan, sallittujen IP-osoitteiden luetteloon ja vanhenemispäivään.

Säilytys ja näyttäminen

Koko salaisuus näytetään kerran luonnin yhteydessä (tai kun vaihdat avaimen). FeitPay tallentaa vain avaimellisen tiivisteen sekä lyhyen etuliitteen (esimerkiksi gp_live_Ab12), jotta tunnistat avaimet hallintapaneelissa.
last_used_at auttaa löytämään käyttämättömät avaimet, jotka voit mitätöidä.
Pyyntölokit eivät koskaan sisällä Authorization-otsakkeita tai pyyntöjen runkoja.

Avainten vaihtaminen

Vaihda avain kohdassa Integrointi → API-avaimet: vanha avain mitätöidään ja tilalle luodaan uusi avain samoilla käyttöoikeuksilla. Ota uusi avain käyttöön ja varmista sitten, ettei vanha etuliite enää näy pyyntölokeissasi. Jos avain on saattanut vuotaa, mitätöi se heti — mitätöinti tulee voimaan seuraavasta pyynnöstä alkaen.

Muut tunnistetiedot (eivät integraatiotasi varten)

Hallintapaneelin istunnot (gps_…) säilyttää hallintapaneeli palvelinpuolella HttpOnly-evästeessä, eikä niitä koskaan paljasteta selaimen JavaScriptille.
Kassan kävijät valtuutetaan vain URL-osoitteessa olevalla arvaamattomalla kassaistunnon tunnisteella; julkiset kassan päätepisteet palauttavat siistittyä dataa eivätkä koskaan hyväksy API-avaimia.
Ylläpitäjien ja lohkoketjujen seurantapalvelujen (watcher) tunnistetiedot ovat sisäisiä, eikä kauppiasrajapinta hyväksy niitä.