Integrazioni API sicure: Stripe, Shopify, Salesforce, webhook

Che cos'è

Un'integrazione sicura protegge tre elementi: le credenziali che concedono l'accesso, i dati che transitano tra i sistemi e l'integrità degli eventi di business che attivano le azioni. Le credenziali comprendono chiavi API, token OAuth e client secret; devono risiedere solo sul server, in un secrets manager o in una configurazione d'ambiente protetta, con i permessi minimi necessari all'integrazione. I dati in transito utilizzano HTTPS e i dati a riposo si limitano a ciò che l'azienda ha effettivamente bisogno di conservare. L'integrità degli eventi dipende dalla verifica che i webhook in entrata provengano davvero dal provider. Stripe, ad esempio, firma gli eventi webhook con un signing secret e fornisce un header di firma che l'endpoint dovrebbe verificare; Shopify firma i webhook con un header HMAC; le integrazioni Salesforce si basano tipicamente su OAuth tramite una connected app o il suo equivalente più recente, una external client app, con permessi circoscritti. Anche l'affidabilità conta. I webhook possono arrivare in ritardo, più di una volta o fuori ordine, quindi gli handler devono essere idempotenti, e le chiamate in uscita devono gestire rate limit e tentativi ripetuti senza duplicare addebiti, ordini o record. Stripe supporta le idempotency key proprio per questo motivo.

Per Chi È

Questa guida si rivolge a:

• Team che collegano pagamenti, abbonamenti o flussi di checkout ai propri sistemi
• Aziende di e-commerce che sincronizzano ordini, inventario o clienti tra Shopify e altre piattaforme
• Aziende che integrano i dati CRM di Salesforce con strumenti interni o portali clienti
• Product owner che esaminano lavori di integrazione consegnati da un'agenzia o da un freelance

Cosa Aiuta A Chiarire

Affrontare questi controlli aiuta a chiarire:

• Dove sono conservate le credenziali, chi può accedervi e come vengono ruotate
• Se gli endpoint webhook verificano le firme e rifiutano le richieste non firmate o riprodotte
• Come vengono gestiti errori, tentativi ripetuti e duplicati senza corrompere i dati
• Quali dati vengono copiati tra i sistemi e se sono tutti necessari

Cosa è incluso

• Mantenere le chiavi API segrete esclusivamente lato server; utilizzare chiavi pubblicabili o pubbliche nei client, ove il provider le supporti
• Conservare i segreti in un secrets manager o in una configurazione protetta, mai nei repository del codice sorgente
• Richiedere scope e permessi minimi; utilizzare credenziali separate per ciascun ambiente
• Ruotare le credenziali secondo una pianificazione e immediatamente dopo cambiamenti di personale o di fornitori
• Verificare le firme dei webhook con il metodo documentato dal provider e rifiutare le richieste che non superano la verifica
• Controllare i timestamp degli eventi per ridurre il rischio di replay e registrare gli ID degli eventi elaborati
• Rendere gli handler idempotenti, in modo che eventi ripetuti non generino azioni duplicate
• Utilizzare idempotency key o salvaguardie equivalenti sulle operazioni di creazione in uscita, ove supportate
• Gestire i rate limit con backoff e mettere in coda il lavoro anziché scartarlo
• Registrare gli eventi di integrazione senza registrare segreti, dati delle carte o dati personali non necessari
• Avvisare un responsabile quando job di sincronizzazione o webhook falliscono ripetutamente
• Testare negli ambienti sandbox o nelle modalità di test del provider prima di passare alle credenziali live

Cosa non è incluso

• Convalida della conformità PCI DSS o approvazione da parte del processore di pagamento
• Gestione delle frodi o dei chargeback
• L'affermazione che seguire questi controlli prevenga ogni incidente di integrazione
• La gestione operativa di piattaforme di terze parti, che resta responsabilità dei provider

Quando sceglierlo

Utilizzi questa checklist quando progetta una nuova integrazione, prima del go-live, quando eredita codice di integrazione da un altro team e dopo qualsiasi incidente che abbia comportato pagamenti duplicati, ordini mancanti o accessi imprevisti ai dati. È particolarmente importante quando un'integrazione può attivare azioni finanziarie, come addebiti, rimborsi o modifiche agli abbonamenti, o può esporre i dati dei clienti.

Il nostro approccio

Tratti ogni integrazione come un piccolo prodotto, con un proprio responsabile, documentazione e monitoraggio. Inizi con un inventario di integrazioni, credenziali ed endpoint webhook; molte organizzazioni scoprono chiavi che nessuno ricorda di aver creato. Applichi poi i controlli sopra indicati in ordine di rischio: prima segreti e verifica delle firme, poi idempotenza e gestione degli errori, infine logging e alerting. Il nostro servizio Secure Backend & API Engineering progetta e realizza attività di backend e di integrazione con un contratto API, una sintesi dei test e un runbook operativo; l'accesso alla produzione e i dati dei clienti vengono utilizzati solo previa esplicita autorizzazione scritta. Quando sono coinvolte logiche di pagamento e di abbonamento, Subscription & Payment Infrastructure Security può esaminare separatamente i percorsi di pagamento e di abilitazione concordati. Se desidera una verifica indipendente degli endpoint di integrazione esistenti, una revisione della sicurezza applicativa può includerli nell'ambito.

servizio Secure Backend & API Engineering

Domande frequenti

Articoli correlati