Chaves e modos

O teu servidor fala com a API com uma chave secreta, no cabeçalho Authorization: Bearer. Há duas espécies, e o prefixo diz qual é:

A chave é secreta: vive no servidor, numa variável de ambiente, e nunca vai para o browser, para uma aplicação móvel ou para o repositório. Quem a tem cria sessões e estorna pagamentos em nome da tua loja.

export SPOLLY_SECRET_KEY=sk_test_...   # a tua chave
export SPOLLY_API_URL=https://payments-api.spolly.ao

curl -s "$SPOLLY_API_URL/v1/conta" \
  -H "Authorization: Bearer $SPOLLY_SECRET_KEY"

GET /v1/conta é a primeira coisa a chamar: diz de que loja e de que modo é a chave, e serve para confirmar que uma chave de teste não foi parar ao servidor de produção, nem o contrário.

{"merchant_id":"mer_...","nome_comercial":"A tua loja","modo":"test"}

No painel, em Chaves de API. Veem e mexem nas chaves as pessoas da equipa com o papel dono, administração ou programador. As chaves que lá aparecem são as do modo em que o painel está (a faixa no topo diz qual, e muda-o).

• Criar. O segredo aparece uma vez, no momento em que a chave nasce. Copia-o para o teu servidor nesse momento: depois, o painel só mostra o início e o fim (sk_test_AbCd...wxyz). Podes ter até 20 chaves ativas por modo.
• Rodar. Cria uma chave nova e marca a antiga para deixar de servir depois de uma sobreposição que escolhes (de 0 a 168 horas). Dá tempo para pores a nova em todos os servidores sem pedidos recusados pelo meio.
• Revogar. A chave deixa de servir no pedido seguinte. Não se desfaz. É o que se faz quando uma chave escapou.

O painel mostra também quando cada chave foi usada pela última vez, e o Registo de pedidos tem os pedidos dos últimos 30 dias, com os segredos ocultados.

Os dois modos são dois mundos separados, com os mesmos ecrãs e as mesmas rotas. O que se cria com uma chave de teste (sessões, pagamentos, estornos, eventos, endpoints de webhook, saldo) só se vê com chaves de teste e no painel em modo teste; o mesmo para produção. Um identificador de um modo dá 404 com a chave do outro.