İş Ortağı Entegrasyonu Güvenlik Mimarisi

Bu sayfa, bir ortağın güvenli bir 6MM entegrasyonunu nasıl tasarlaması gerektiğine odaklanır. Ticaret platformunda kullanılan daha geniş güvenlik katmanları için bakınız Platform Güvenlik Mimarisi.

Üretim entegrasyonu başlamadan önce güvenlik mimarisi üzerinde anlaşma sağlanmalıdır. Bu, ortak sistemlerin kullanıcıları nasıl doğruladığını, token çıkardığını, sırları nasıl sakladığını, olayları nasıl aldığını, işlemleri nasıl izlediğini ve olaylara nasıl yanıt verdiğini etkiler.

Önerilen güven sınırı

Bileşen	Şunları içerebilir	İç içine almamalı
Partner ön uç	Genel yapılandırma, kısa ömürlü giriş sonucu, hassas olmayan arayüz durumu	Partner API gizli, imza anahtarı, ayrıcalıklı arka uç kimlik bilgileri
Ortak backend	Kullanıcı eşleme, korunan kimlik bilgileri, imza mantığı webhook işleme	İstemci yanıtları veya kamuya açık kayıtlar aracılığıyla ortaya çıkan sırlar
6MM entegrasyon uç noktaları	Onaylanmış imzalı istekler, jetonlar ve webhook teslimatı	Doğrulanmamış ortak tarafı kullanıcı varsayımları

Ortak ön uç, ayrıcalıklı işlemler için ortak arka uçunu çağırmalıdır. Backend, ortak kullanıcıyı doğrular, onaylanan API veya SDKüzerinden 6MM çağırır ve sadece ön tarafın ihtiyaç duyduğu kısa ömürlü sonucu döndürür.

Güvenlik katmanları

Katman	Gerekli odak noktası
API yetkinlikleri	Sadece arka uç depolama, rotasyon planı ve erişim kontrolü.
İstek imzalama	Tutarlı zaman damgası, imza ve tekrar izleme koruması yönetimi.
Tokenları gömülü	Kısa süreli tehriz, uygunluk kontrolleri ve açık geçersiz davranış.
Webhooks	İmza doğrulama, kimlik potansiyeli, tekrar denemeler ve olay denetim günlükleri.
İşletmeler	Erişim rolleri, olay tırmantı, izleme ve kanıt saklama.

Üretim kontrol planı

Kontrol alanı	Minimum uygulama kanıtı
Kimlik bilgileri depolama	Gizli yönetici konumu, erişim sahibi, ortam ayrımı ve rotasyon süreci.
Kullanıcı girişi	Oturum doğrulaması, uygunluk kontrolü, kısa ömürlü token akışı ve başarısızlık yönetimi.
İmzalı talepler	Doğru ortam, senkronize zaman, istek kaydı ve imza hatası uyarıları.
Varlık operasyonları	Benzersiz iş kimlikleri, zaman aşımına ulaşma, durum sorguları ve operatör inceleme yolu.
Webhooks	Ham gövde imza doğrulaması, tekrar oynatma kontrolleri, idempotency deposu ve tekrar deneme güvenli işleme.
İzleme	Kimlik doğrulama hataları, anormal denemeler, webhook gecikme ve operasyonel hatalar için uyarılar.
Olay müdahalesi	Adı verilen sahip, yükseltme kanalı, kanıt saklama ve kimlik iptal prosedürü.

Fırlatma incelemesi

Üretim öncesi:

Kullanıcı, token, taleb, varlık ve webhook veri akışlarını çizin.
Her kimlik bilgilerinin nerede oluşturulduğunu, saklandığını, kullanıldığını, kaydedildiğini, döndürüldüğünü ve iptal edildiğini işaretleyin.
Süresi dolmuş tokenları, geçersiz imzaları, zaman aşımlarını, yineleştirilen webhooksve yeniden bağlantı davranışını test edin.
Destek ekiplerinin bir operasyonu isteği veya iş tanımlayıcısı üzerinden bulabildiğini doğrulayın.
Tamamla Üretim Başlatma Kontrol Listesi.

Önerilen doktorlar

Sırlar ve İmza Alma

Agent SDK kimlik bilgilerini ve imzalanmış talepleri koruyun.

İstek İmzaları

Doğrudan Developer API istek imzalamayı uygulayın.

Webhook ve İdempotensi

Olayları güvenli bir şekilde işleyin.