Anahtarın Temsil Ettiği Yetki
API anahtarı, uygulamanın ödeme sağlayıcısıyla iletişiminde kullanılan erişim bilgisidir. Kullanıcıların mağazaya giriş yaptığı parola ile aynı görevi yapmaz. Uygulamanın sağlayıcıya hangi hesap ve yetki kapsamında istek gönderdiğini belirlemeye yardımcı olur. Kimlik doğrulama için kullanılan bilgilerin kapsamı sağlayıcının modeline bağlıdır; hangi bilginin gizli tutulacağı bağlantı kurulurken belirlenir.
İşletme açısından anahtarın sahibi yalnızca yazılımı geliştiren kişi olarak düşünülmemelidir. Erişimin hangi iş için verildiği ve kim tarafından yönetildiği bilinmelidir. Böylece bir entegrasyon devredildiğinde teknik bağlantının sorumlusu belirsiz kalmaz.
Tarayıcı ve Sunucu Ayrımı
Müşterinin tarayıcısına gönderilen içerik ile sunucuda kullanılan gizli erişim bilgisi farklı kapsamlar taşır. Bazı sağlayıcılar tarayıcıda kullanılabilen yayımlanabilir anahtar ile sunucuda tutulması gereken gizli anahtarı ayrı tanımlar. Bir anahtarın kısıtlı olması, onu herkese açık paylaşılabilir hâle getirmez.
Bu ayrımın iş karşılığı, bütün bağlantı bilgilerinin aynı sınıfta değerlendirilmemesidir. Ekip içinde bir alanın yalnızca hesap tanıtımı mı yaptığı, yoksa işlem yetkisi mi taşıdığı anlaşılmalıdır. Anahtarın ekranda yıldızlarla gizlenmesi de uygulamanın onu müşteriye göndermediğini tek başına göstermez.
İhtiyaca Uygun Erişim Kapsamı
Bir entegrasyonun görevini yapabilmesi için gerekli erişim ile hesabın bütün işlemlerine erişim aynı şey değildir. Sağlayıcının desteklediği durumlarda belirli kayıtlara yalnızca okuma veya yazma yetkisi tanımlanabilir. Amaç, uygulamaya yaptığı işin gerektirdiği yetkinin tanımlanabilmesidir.
İşletme bu konuyu teknik izin adlarından önce görev tanımıyla değerlendirebilir. Bir raporlama hizmetinin veri okuması, başka bir uygulamanın işlem oluşturması veya ekip değişikliğinde erişimin kaldırılması farklı ihtiyaçlardır. Sağlayıcıların yetki modelleri aynı olmayabilir; bir üründe bulunan ayrıntılı izin yapısı başka sağlayıcıya varsayımla taşınmamalıdır.
Test ve Canlı Ortam
Test ortamı, entegrasyon davranışlarının canlı işlemlerden ayrı ele alınmasını sağlar. Test hesabına ait erişim bilgileri, canlı ödeme hesabının bilgileriyle karıştırılmamalıdır. Deneme işleminin gerçek tahsilat oluşturmadığı bilinmelidir. Bu ayrım, denemenin hangi ortamda yapıldığının açıkça anlaşılmasını gerektirir.
Varsayımsal bir mağazanın tasarım yenilemesi sırasında ödeme ekranını inceleyen dış ekibi düşünelim. Bu ekibin görevi, müşteri arayüzünü değerlendirmek olabilir. Bu görev tek başına canlı hesabın bütün işlem yetkilerine ihtiyaç olduğu anlamına gelmez. Örnek bir kurulum talimatı değil, iş kapsamı ile erişim kapsamının birlikte tarif edilmesi gerektiğini gösterir.
Anahtarın Kullanım Ömrü
Anahtar yönetimi, erişim bilgisinin ilk kez oluşturulmasıyla bitmez. Kullanıldığı hizmetler, erişebilen kişiler ve değişiklik sorumlusu zaman içinde değişebilir. Anahtar yenileme, erişim kayıtlarının incelenmesi ve bilginin açığa çıkması durumunda sorumluluğun belirlenmesi kullanım ömrünün parçalarıdır.
İşletmenin kaydı, gizli değeri yaygın bir belgeye kopyalamadan anahtarın amacını açıklayabilmelidir. Bir ekip üyesi ayrıldığında veya hizmet kullanımdan kalktığında erişimin hangi bileşenleri etkilediği bilinmelidir. Böyle bir envanterin değeri, beklenmeyen bir değişiklik sırasında kimin neyi değerlendireceğini anlaşılır kılmasıdır.
İşletme İçin Değerlendirme Sınırı
Anahtar güvenliği, ödeme entegrasyonunun erişim kısmını ele alır. Sağlayıcının ülke kapsamı, ticari uygunluk ve mağazanın ödeme süreci ayrı konulardır. Yetki modelleri her üründe farklı olabildiğinden burada anlatılan genel ilkeler, belirli bir sağlayıcının bütün özelliklerinin bulunduğu anlamına gelmez.
Yönetim açısından beklenen sonuç, her erişimin amacı, ortamı ve sorumlusunun anlaşılmasıdır. Gizli bilginin korunmasıyla gereksiz yetkinin azaltılması birlikte değerlendirilir. Anahtar yönetiminin düzgün olması tüm ödeme sorunlarını ortadan kaldıracağı anlamına gelmez; uygulamanın sağlayıcı hesabında hangi yetkiyle çalıştığını açıklayan temel kaydı sağlar.
Bu Konuda Nasıl Destek Oluyoruz?
AdPix’in bu alandaki hizmet kapsamını ve çalışma sürecini inceleyin.