Sécurité de l'API

La sécurité de vos fonds et de vos données passe en premier. En plus de l'authentification par clé API, les actions sensibles du dashboard exigent une confirmation supplémentaire.

Authentification par clé API

Chaque requête à l'API SOAMTAR doit être authentifiée avec une clé secrète dans le header Authorization.

Authorization: Bearer sk_live_...

Types de clés

• Clés de test (sk_test_...) : simulent des paiements en sandbox. Aucun argent réel ne circule.
• Clés live (sk_live_...) : transactions réelles. Gardez-les strictement confidentielles.
• Clés publiques (pk_...) : SDK navigateur et mobile uniquement.

Signature des requêtes (optionnelle)

Les requêtes API mutantes peuvent en plus porter Soamtar-Timestamp et Soamtar-Signature: v1=…, un HMAC-SHA256 de "<timestamp>.<MÉTHODE>.<chemin>" avec votre clé secrète. Chaque SDK serveur propose une option pour l'activer. Voir Authentification → Signature des requêtes.

Confirmation par OTP en mode live

Pour révéler une clé ou un secret, ou modifier une information critique depuis le dashboard :

1. Mode test : immédiat.
2. Mode live : un code à usage unique (OTP) est exigé.

SOAMTAR envoie un code à 6 chiffres :

• par email : à l'adresse de l'utilisateur connecté ;
• par SMS : au numéro configuré sur le compte marchand (+232…).

Actions protégées par OTP en mode live :

• Révéler une clé API ou un secret de webhook.
• Modifier les coordonnées de reversement (compte bancaire).
• Modifier le profil de l'entreprise.
• Changer le mot de passe de l'utilisateur.
• Supprimer un endpoint de webhook.

Validation des webhooks

Le secret de signature est propre à chaque endpoint. Il permet de calculer un HMAC-SHA256 sur le corps de la requête pour vérifier qu'une notification vient bien de SOAMTAR. Voir Webhooks.

Gestion du secret

• Révéler : depuis le dashboard (OTP en mode live), ou par l'API avec GET/v1/webhooks/{endpoint_id}/secret et votre clé secrète.
• Supprimer : la suppression d'un endpoint en mode live exige aussi un OTP.

Bonnes pratiques

1. Rotation des clés : renouvelez vos clés API tous les 90 jours, ou immédiatement en cas de fuite suspectée.
2. Liste blanche d'IP : restreignez vos clés de production aux adresses IP de vos serveurs dans les paramètres du dashboard.
3. Accès au dashboard : protégez chaque compte du dashboard par un mot de passe fort et unique.