決済のセキュリティとテスト

組み込みの保護機能

• エントロピーの高い認証情報、サーバー間のみ、そして別々の支払い権限。
• 外部から始まる前の持続的な意図。
• プロファイル、受益者、概念、金額、機関がサーバーによって設定・検証されます。
• 暗号化された機密状態;会社、意図、有効期限、発信元に紐づいたウィジェットの token をハッシュとしてのみ保存します。
• 決定論的な試行IDと fencing は、曖昧な結果の後に自動再起動を防ぐためのものです。
• 専用コールバック、単一消費、楽観版、リースコントロール。
• 編集済み監査:アクセスキー、完全な IBAN 対応、IP、コールバック、完全な応答、不透明な状態は一切含まれません。
• 明確に宛先やリダイレクトを許可し、時間 HTTPS、最大時間、限られた応答を設けています。
• 正確なオリジン、 event.source 検証、バージョン管理スキーマを備えたウィジェットメッセージング。

サンドボックスを統合する

質問 Wealth Reader:

1. 支払いおよび必要なプロファイルに認可されたプライベートアクセスコード;
2. ウィジェットをホストする正確な HTTPS ソース;
3. 合意された数量と頻度の制限;
4. サンドボックスモードへのアクセスは、資金を動かしません。

必ず profile-institutions を照会してください。サンドボックスではシミュレーション用の金融機関のみを返します。expected_mode: "mock" でインテントを作成し、応答の attestation も mock を示すことを確認してから、token をブラウザーに渡してください。

少なくとも試してみて:

• 同じキーによる作成の再送と、異なるリクエスト本文との競合;
• 制度ややり方が変わった。
• token の期限切れと、許可されていないオリジン。
• ポップアップがロックされ、 SCAに戻る;
• 中間ステータス、照合およびウィジェットのクローズを保留中;
• 確認は受領時のみ payment_status: settled。

実アクティベーションをリクエスト

現金試験の前に、 Wealth Readerに確認してください:

• 機関がアクセスコードの事前協議に掲載されること、
• プロファイルとそのバージョンが承認されること;
• 起源、 callback 、流れが SCA エンドからエンドまで検証されたこと;
• 量、頻度、照合、緊急停止に制限があること、
• 最低限の検査を担当する権限を持つ人間がいるということです。

機関のためにソースアカウントが必要になる場合があり、その場合、ウィジェットが承認時に要求します。ユーザーのネットワークアドレスは APIの管理境界で取得されます。顧客はそれを提出すべきではありません。そのデータも債務者の IBAN もイベントで露出しません。

curlとのシーケンスは意図を準備し問い合わせしますが、銀行認証は完了しません。ユーザーは銀行ブラウザやアプリで継続しなければなりません。

プロファイルの有効化には、 WR_PAYMENTS_CRUZ_ROJA_PROFILE_ENABLED=1、 WR_PAYMENTS_CRUZ_ROJA_PROFILE_VERSION=2026-09-04 、 WR_PAYMENTS_CRUZ_ROJA_COMPANY_IDSに含まれるアクセスキーの会社という3つの独立かつ正確な展開制御が必要です。これらの値は支払い権限の代わりにはならず、実際の機関を単独で可能にするものではありません。

現在公開されている契約は psuIp 未使用とマークしていますが、コネクタの過去的なテストではそれが必要でした。 Wealth Reader は、ターゲット展開が認証されるまで、正確なフィールドと信頼されたプロキシポリシーの両方をエンドツーエンドおよびオプションテストで検証するまで、アクティベーションをロックしたままにします。任意の転送ヘッダーで有効化したり、公開された文が過去の挙動を反映していると仮定してはなりません。

プライベートDNS解決および内部サービスへのTLS終了は各デプロイメントに依存します。このSDKはそれらの存在や達成可能を前提としていません。出力を有効化したり新しい意図を受け入れる前に、 API ランタイムから検証する必要があります。

やってはいけないこと

• APIキー、完全な受益者データ、または内部データをブラウザに送信します。
• 事前協議で返還されない機関をでっち上げること。
• 曖昧な冒頭を自動で繰り返す。
• 記録 IBAN、ネットワークアドレス、 callback 、または銀行のフル対応。
• やり取りの終わりを清算と解釈してください。
• 銀行集約ルート、トークン、コールバックを再利用しましょう。