Référence API
Rapprochement serveur du paiement
Le rapprochement serveur vérifie le reçu lié au compte, domaine et référence avant le service de paiement ; jamais depuis le navigateur public.
https://api.sparkglim.net/api/white-label/v1/payments/verifyModèle d’accès
- Modèle d’accès
- HMAC Organisation côté serveur
- Portée requise
payments:write- Disponibilité documentée
- Implémenté dans le code
La disponibilité est vérifiée dans le code, pas garantie en production.
La signature privée reste sur votre serveur. L’API Version 1 utilise le format de signature v2 ; ce n’est pas une API v2.
En-têtes
| Nom | Type | Validation |
|---|---|---|
x-white-label-domainObligatoireDomaine vérifié qui résout le compte Organisation approuvé et lie cette requête. | string | Validation : Nom d’hôte HTTPS vérifié. |
x-white-label-key-idObligatoireIdentifiant extrait de la clé privée unique ; n’envoyez jamais son secret dans cet en-tête. | string | Validation : Identifiant interne de la clé privée émise. |
x-white-label-signature-versionObligatoireSélectionne le format signé lié au domaine ; les routes API restent Version 1. | string | Validation : 2. |
x-white-label-timestampObligatoireHeure de signature en millisecondes comparée à l’horloge serveur pour rejeter les requêtes périmées. | string | Validation : Millisecondes sur 13 chiffres ; dans une fenêtre de cinq minutes. |
x-white-label-nonceObligatoireValeur aléatoire fraîche enregistrée par le serveur pour empêcher la répétition d’une requête signée. | string | Validation : Valeur nouvelle : 16–128 [A-Za-z0-9_-]. |
x-white-label-signatureObligatoireHMAC-SHA256 du domaine, clé d’idempotence, clé de campagne, horodatage, nonce, méthode, chemin, requête triée et empreinte exacte du corps. | string | Validation : HMAC-SHA256 hexadécimal en minuscules. |
x-white-label-campaign-keyFacultatifClé de campagne complète facultative qui limite la requête privée à la même campagne autorisée. | string | Validation : Valeur keyId:secret complète, facultative et limitée à son périmètre. |
Requête
| Nom | Type | Validation |
|---|---|---|
referenceObligatoireRéférence opaque retournée par l’initialisation serveur ; conservez-la inchangée. | string | Validation : 1–200. |
receiptTokenObligatoireReçu opaque de l’initialisation, associé à la référence correspondante pour le rapprochement serveur. | string | Validation : UUID lié à ce domaine, compte ou paiement. |
Requête
Les exemples décrivent le contrat et ne sont pas exécutés. Utilisez des données de test autorisées ; ne saisissez jamais de secret réel ici.
POST /api/white-label/v1/payments/verify HTTP/1.1
Host: api.sparkglim.net
x-white-label-domain: events.example.com
x-white-label-key-id: <ISSUED_KEY_ID>
x-white-label-signature-version: 2
x-white-label-timestamp: <FRESH_MILLISECONDS>
x-white-label-nonce: <FRESH_SIGNING_NONCE>
x-white-label-signature: <SERVER_GENERATED_SIGNATURE>
Content-Type: application/json
{
"reference": "<SERVER_REFERENCE>",
"receiptToken": "44444444-4444-4444-8444-444444444444"
}Réponse
{
"success": true,
"data": {
"reference": "<SERVER_REFERENCE>",
"status": "pending"
},
"requestId": "wlapi_example"
}{
"success": false,
"error": "<ERROR_MESSAGE>",
"requestId": "wlapi_example"
}Validation, permissions, données indisponibles et pannes utilisent le statut HTTP et l’erreur du gestionnaire.
Limites et tentatives
Limiteur Organisation : 120 requêtes par clé et 300 par IP par fenêtre ; respectez Retry-After et X-RateLimit.
Compatibilité du code
Les opérations autorisées nécessitent des tests propres au compte.
server/src/api/router.tsserver/src/api/routes/white-label.tsserver/src/white-label/auth.tsserver/src/white-label/schemas.tsserver/src/white-label/organization-service.tsserver/src/white-label/service.ts