API kalitlar#

Kalitlarni faqat backend serverda saqlang — hech qachon frontend JavaScript, mobil ilova yoki ochiq repozitoriyda emas.
Kalitni faqat Authorization headerida yuboring; URL dagi kalitlar rad etiladi.
Minimal scope tamoyili: o'qish uchun ishlatiladigan servisga orders:write bermang.
Har bir muhit va servis uchun alohida kalit, aniq nom bilan (masalan «billing-worker prod»).
Muddatli kalitlar va muntazam rotatsiya (24 soatlik o'tish davri bilan).
Live kalitlar uchun IP allowlist so'rang.

Kalit sizib chiqsa

Darhol kabinetda kalitni bekor qiling (yoki grace = 0 bilan rotatsiya qiling), xavfsizlik jurnalini va buyurtmalar tarixini tekshiring, so'ng bizga xabar bering.

Webhooklar#

Har bir so'rovning imzosini tekshiring va 5 daqiqadan eski webhook-timestamp larni rad eting.
Constant-time solishtirishdan foydalaning (hmac.compare_digest, crypto.timingSafeEqual, hash_equals).
webhook-id bo'yicha dublikatlarni tashlang.
Webhook ma'lumotiga ko'r-ko'rona ishonmang: muhim amallardan oldin GET /v1/orders/{id} bilan tasdiqlang.

SMS kodlar va raqamlar#

SMS kodlar — maxfiy ma'lumot. Ularni loglarga yozmang yoki faqat maskalangan holda yozing.
Foydalanuvchilaringizga faqat o'zlariga tegishli raqam va kodlarni ko'rsating.

Tarmoq va mijoz#

TLS sertifikatini tekshirishni o'chirmang (verify=False kabi sozlamalar taqiqlansin).
Timeout qo'ying (masalan, 30 soniya) va backoff bilan qayta urining.
X-Request-Id ni loglaringizda saqlang — muammolarni tez topamiz.

Kabinet#

Kabinetga milliysavdo.uz akkauntingiz orqali kirasiz — akkauntingizni kuchli parol va Telegram orqali himoyalang.
Umumiy kompyuterdan foydalangan bo'lsangiz, «Chiqish» tugmasini bosing.
Zaiflik topsangiz, uni ochiq e'lon qilishdan oldin bizga xabar bering.