Sécurité

Gardez toutes les clés API côté serveur.
Utilisez HTTPS pour les webhooks et les redirections.
Une réponse d’initiation, une redirection ou un retour navigateur ne prouve pas le règlement. Vérifiez le statut depuis le serveur auprès du prestataire ou authentifiez sa notification selon sa méthode documentée.
Avant tout crédit ou livraison, rapprochez l’identifiant prestataire, la référence marchand, le montant, la devise et le bénéficiaire avec la demande enregistrée.
Traitez chaque résultat final une seule fois. Une référence déjà réglée ne doit jamais créditer un wallet une seconde fois.
N’acceptez jamais un statut de paiement envoyé par le navigateur ou par le client API comme preuve de règlement.
Rendez vos webhooks idempotents et rejetez les signatures absentes ou invalides.
Ne journalisez pas les clés, tokens ou données sensibles.
Validez les montants, devises et références côté serveur.
Utilisez une liste d’opérateurs issue du catalogue AshTech Pay.
Faites tourner immédiatement une clé compromise.

AshTech Pay ne vous demandera jamais de publier une clé secrète dans un ticket, un message ou un dépôt public.