Premiers pas
Authentification
Clés de test et live, jetons Bearer d'une heure, rotation et protection des secrets.
4 min de lecture
Sur cette page
Clés et modes
Votre application dispose de deux jeux de clés. Chacun comprend un identifiant public (client_id) et un secret (client_secret).
| Clé | Mode | Usage |
|---|---|---|
pk_test_… / sk_test_… | Test (bac à sable) | Développer et tester. Le trafic de test ne touche jamais à de l'argent réel. |
pk_… / sk_… | Live | Trafic de production après l'approbation de mise en production. |
Les clés pk_… sont publiables : le seul endroit où elles ont leur place hors de votre serveur est le champ key du paiement hébergé. Les secrets (sk_…) restent sur votre serveur, jamais dans une application, une page web ou un dépôt de code.
Obtenir un jeton
POST https://pesa-bridge.com/api/bridgepay/v1/oauth/token
Content-Type: application/json
{ "client_id": "pk_test_…", "client_secret": "sk_test_…" }{ "access_token": "at_9f3…", "token_type": "Bearer", "expires_in": 3600, "mode": "test", "sandbox": true }Envoyez-le à chaque autre appel sous la forme Authorization: Bearer <access_token>. Mettez le jeton en cache et réutilisez-le jusqu'à peu avant son expiration ; ne demandez pas un jeton par appel.
429 Too many attempts pendant quelques minutes : corrigez les identifiants plutôt que de réessayer en boucle.Rotation des secrets
POST /partner/keys/rotate émet un nouveau secret pour le jeu de test ou live et révoque tous les jetons existants de ce mode. Le nouveau secret n'est affiché qu'une fois. Déployez-le aussitôt sur vos serveurs, puis demandez un nouveau jeton.
Effectuez une rotation immédiate si un secret a pu fuiter, et au minimum chaque fois qu'une personne ayant accès quitte votre équipe. Vous pouvez aussi gérer les clés et les membres de l'équipe dans la console développeur.
Un second facteur pour les sorties d'argent
Un jeton Bearer suffit pour encaisser. Pour les décaissements et les annulations, vous pouvez exiger un second facteur : un Initiator et un SecurityCredential. Une fois configurés, ces appels sont rejetés sans eux. Voir Envoyer de l'argent.
Erreurs d'authentification
| Statut | Message | Que faire |
|---|---|---|
| 401 | Unauthorized: invalid or expired token. | Demandez un nouveau jeton ; vérifiez que vous utilisez les clés du bon mode. |
| 429 | Too many attempts. Try again shortly. | Arrêtez les tentatives, corrigez les identifiants et attendez quelques minutes. |
Nos ingénieurs répondent aux questions d'intégration. Envoyez-nous la référence de la requête et nous retrouverons l'appel exact.
Contacter le support