Demarrer

Authentification

Toutes les requetes sont authentifiees par une cle API transmise dans l’en-tete Authorization.

Format des cles

Parametre	Type	Description
`pk_test_…`	publique	Sandbox, lecture seule. Peut etre exposee cote client.
`sk_test_…`	secrete	Sandbox, acces complet. Serveur uniquement.
`pk_live_…`	publique	Production, lecture seule.
`sk_live_…`	secrete	Production, acces complet. Serveur uniquement.

Envoyer la cle

curl https://api.wanepay.com/v1/payments \
  -H "Authorization: Bearer sk_test_xxx"

Regles

Une cle publique ne peut jamais creer de paiement, de payout ni de remboursement : toute ecriture renvoie 403 forbidden.
La cle secrete n’est affichee qu’a sa creation. WanePay n’en conserve que le SHA-256 : il est impossible de la reafficher.
L’environnement est deduit de la cle. Une cle sk_test ne voit jamais les donnees de production, et inversement.
Une cle revoquee est refusee immediatement, sans periode de grace.
La rotation revoque l’ancienne cle et en emet une nouvelle du meme type.

Limites de debit

Les requetes sont limitees par cle API, sur une fenetre glissante d’une minute. En cas de depassement, l’API renvoie 429 avec un en-tete Retry-After.

{
  "error": {
    "type": "rate_limit_error",
    "code": "rate_limit_exceeded",
    "message": "Trop de requetes. Reessayez dans 42 secondes."
  },
  "request_id": "req_9x2m4kd7"
}

Bonnes pratiques

Ne jamais exposer une cle secrete

Une cle sk_ presente dans du code client, un depot public ou un bundle JavaScript doit etre consideree comme compromise : revoquez-la immediatement depuis le dashboard.

Stockez la cle dans une variable d’environnement, jamais dans le code source.
Creez une cle par service afin de pouvoir en revoquer une seule sans interruption.
Surveillez la colonne « derniere utilisation » pour reperer les cles inutilisees.