API 키와 Webhook을 안전하게 관리하기

시크릿 키(sk_…)는 서버의 시크릿 저장소에 두어야 하며, 코드 저장소, 모바일 앱, 프런트엔드 JavaScript에는 절대 두지 마세요. 브라우저에 배포해도 안전한 것은 퍼블리셔블 키(pk_…)입니다.

누군가 퇴사했거나, 노트북을 분실했거나, 키가 로그에 남았을 가능성이 있을 때마다 키를 교체하세요. 교체는 일상적인 작업이 되도록 설계되어 있습니다.

페이로드를 신뢰하기 전에 모든 Webhook 서명을 검증하고, 이벤트는 멱등하게 처리하세요 — 전달은 최소 한 번 보장이며 순서는 보장되지 않습니다.

개발자에게는 개발자 역할을 부여하세요. 이 역할은 키와 Webhook을 관리할 수 있지만 자금을 이동할 수는 없어, 한 번의 유출이 미치는 범위를 제한해 줍니다.