الأمان

مفتاحك الخاص يبقى لك

لا يرى أنيس مفتاحك الخاص أبدًا — بل نصفه العام فقط، عند تسجيل المفتاح. احفظ النصف الخاص حيث تحفظ أكثر أسرارك حساسية: خزنة مفاتيح، أو وحدة أمان عتادية، أو ملف لا تستطيع قراءته إلا خدمتك.

• لا تضعه أبدًا في ملف إعدادات، أو متغير بيئة، أو نظام إدارة الشيفرة المصدرية، أو أي مكان يمكن أن يصل إليه سجل (log) أو تقرير أعطال.
• لا يحتاج التوقيع إلا إلى شيء قادر على توقيع البايتات باستخدام ECDSA P-256 وإعادة التوقيع ذي الـ 64 بايت. يمكن لخزنة أو وحدة عتادية توقّع نيابةً عنك أن تقوم بذلك دون أن يدخل المفتاح تطبيقك أبدًا — وتقبل حزم SDK أي أداة توقيع من هذا النوع.

كل ردّ يُتحقَّق منه

يوقّع أنيس كل ردّ، ويفحصه برنامجك قبل أن يتصرف بناءً عليه — راجع التحقق من الردود. الردّ الذي يفشل في الفحص يُتخلَّص منه: لا تتصرف بناءً عليه أبدًا، ولا تكتفِ أبدًا بتسجيله في السجل ثم متابعة العمل. ردود تسجيل المفتاح موقّعة أيضًا.

عنوان واحد لكل نسخة نشر

كل نسخة نشر لأنيس منفصلة تمامًا — لها عنوانها ومفاتيحها وبياناتها. لا يوجد إعداد يبدّل بينها؛ فالعنوان الذي تستدعيه هو ما يحدد. والمفتاح المسجَّل لدى نسخة نشر لا يعني شيئًا لأخرى.

استبدال مفتاحك وإلغاؤه

• الاستبدال: يبدأ موظفو أنيس الاستبدال ويرسلون إليك دعوة جديدة؛ سجّل المفتاح الجديد. يعمل المفتاحان كلاهما خلال فترة التداخل التي يحددها أنيس — انتقل إلى معرّف المفتاح الجديد خلالها.
• الإلغاء: منذ لحظة إلغاء المفتاح، يُرفض كل استدعاء موقّع به بالرمز invalid_credentials. لكي توقّع مجددًا، سجّل مفتاحًا جديدًا من دعوة جديدة.
• إذا ظننت أن مفتاحك قد تسرّب، فأبلغ أنيس فورًا ليتمكن الموظفون من إلغائه.

الشبكات المسموح بها

لا يجوز أن تصدر استدعاءات تطبيقك إلا من الشبكات المتفق عليها مع أنيس. وأي استدعاء من أي مكان آخر يُرفض بالرمز insufficient_scope — وهو الردّ نفسه الذي يُعاد عند نقص صلاحية، عن قصد.

رموز البطاقات أسرار

تظهر رموز البطاقات في موضعين اثنين فقط: الردّ الذي يُبلغ لأول مرة عن اكتمال طلب شراء، وعملية الكشف. احفظها حيث تحفظ الأسرار، ولا تكتبها أبدًا في السجلات (logs) أو التتبعات (traces) أو تقارير الأخطاء.

الساعة

تحمل التوقيعات وقتها، وكذلك ردود أنيس. أبقِ ساعة خادمك متزامنة (NTP): الساعة التي تنحرف تؤدي إلى رفض الاستدعاءات بالرمز invalid_credentials وإلى تجاهل الردود لأنها قديمة جدًا. وقّع لمدة 60 ثانية أو أقل — راجع توقيع الاستدعاءات.