Аутентификация API запросов

Datagio Finance поддерживает несколько способов проверки запросов к API.

1. Запросы сервер-сервер (API-ключи)

Для бэкенда передавайте два заголовка:

• X-API-Key: публичный ключ (pk_live_...).
• X-API-Secret: секрет (sk_live_...).

В теле создания платежа нужен shop_id, если не используете кассовый ключ.

curl -X GET https://api.datagio.finance/merchant/v1/payment-links \
  -H "X-API-Key: pk_live_your_public_key" \
  -H "X-API-Secret: sk_live_your_secret_key"

Кассовый ключ dg_live_... передаётся как Authorization: Bearer dg_live_... на POST /api/v1/merchant/payments. Магазин берётся из ключа.

2. Сессия кабинета

Для запросов из дашборда — заголовок Authorization: Bearer с сессионным токеном (это не JWT) или cookie sid.

curl -X GET https://api.datagio.finance/api/v1/payment-links \
  -H "Authorization: Bearer YOUR_SESSION_TOKEN"

По сессии в теле создания ссылки нужен shop_id.

[!CAUTION] Никогда не используйте API-ключи во фронтенд-коде. Если ключи скомпрометированы, перевыпустите их в кабинете.