Cada pedido de Verification of Payee inclui um nome de beneficiário e um IBAN, e cada resposta traz um resultado de verificação. É exatamente o tipo de dados que deve ser protegido em trânsito e por trás de um forte controlo de acesso. Trate a API VoP como qualquer outro endpoint de pagamento sensível.
Os controlos fundamentais
- Segurança do transporte: use TLS, e mutual TLS (mTLS) onde o fornecedor o suporta, para que ambos os lados se autentiquem.
- Controlo de acesso: client credentials OAuth ou tokens API com âmbito, não segredos partilhados de longa duração no código.
- Privilégio mínimo: tokens limitados apenas às operações VoP de que precisa.
Proteja as chaves, não apenas as chamadas
A maioria dos incidentes de API vem de credenciais divulgadas, não de criptografia partida. Guarde os segredos num cofre, rode-os, e nunca os submeta ao controlo de versões.
Boas práticas operacionais
- 1 Rode as credenciais regularmente e a qualquer exposição suspeita.
- 2 Restrinja o acesso por lista de permissões de IP onde for possível.
- 3 Registe os acessos e monitorize padrões de chamada invulgares.
- 4 Separe completamente as credenciais de teste e produção.
Segurança integrada na API
A API de Verification of Payee da RoxPay suporta segurança moderna de transporte e acesso, para que a sua integração proteja os dados do beneficiário desde a conceção, não como um pensamento tardio.