Keamanan & batasan

Batasan

• Whitelist IP wajib, maks. 50 IP publik. Satu IP hanya untuk satu akun.
• 10 kali gagal login dari IP dan merchant yang sama dalam 10 menit = diblokir sementara.
• Maks. 600 request per menit per IP.
• Production Key dan Callback Secret hanya tampil setelah verifikasi OTP email, tersembunyi lagi setelah 3 menit.
• Buat ulang Production Key atau Callback Secret dibatasi 3x per hari untuk masing-masing.

Yang perlu dijaga

• Jangan simpan Production Key, password, atau Callback Secret di kode yang bisa dilihat publik (aplikasi mobile, JavaScript browser, repositori terbuka).
• Panggil API hanya dari server kamu, lewat HTTPS.
• Selalu verifikasi X-Signature pada callback sebelum memproses.

Alur yang disarankan

1. Buat ref_id unik dan simpan di database dengan status menunggu.
2. Panggil /transaksi. Kalau timeout, ulangi dengan ref_id yang sama.
3. Update status dari respons. Kalau pending, tunggu callback.
4. Terima callback, verifikasi signature, lalu update status. Sebagai cadangan, cek /status berkala untuk transaksi yang pending lama.