Integrationer med platforme som Stripe, Shopify og Salesforce er ofte dér, hvor forretningskritiske data og penge bevæger sig mellem systemer. Det er også dér, hvor genveje er almindelige: en API-nøgle indsat i frontend-koden, et webhook-endpoint, der accepterer enhver forespørgsel, eller et synkroniseringsjob, der fejler i stilhed. Hver udbyder offentliggør detaljeret sikkerhedsvejledning, men den integrationskode, jeres team skriver, er stadig jeres ansvar. Denne guide gennemgår de praktiske kontroller, der gør integrationer mere sikre og pålidelige.
Hvad det er
En sikker integration beskytter tre ting: de legitimationsoplysninger, der giver adgang, de data, der flyder mellem systemerne, og integriteten af de forretningshændelser, der udløser handlinger. Legitimationsoplysninger omfatter API-nøgler, OAuth-tokens og klienthemmeligheder; de bør kun findes på serveren, i en secrets manager eller en beskyttet miljøkonfiguration, med de snævreste rettigheder, integrationen har brug for. Data under overførsel bruger HTTPS, og lagrede data begrænses til det, virksomheden faktisk har brug for at opbevare. Hændelsernes integritet afhænger af, at man verificerer, at indgående webhooks virkelig kommer fra udbyderen. Stripe signerer for eksempel webhook-hændelser med en signeringshemmelighed og leverer en signatur-header, som jeres endpoint bør verificere; Shopify signerer webhooks med en HMAC-header; Salesforce-integrationer bygger typisk på OAuth via en connected app eller dens nyere modstykke, en external client app, med afgrænsede rettigheder. Pålidelighed har også betydning. Webhooks kan ankomme sent, mere end én gang eller i forkert rækkefølge, så handlere bør være idempotente, og udgående kald bør håndtere rate limits og genforsøg uden at duplikere betalinger, ordrer eller poster. Stripe understøtter idempotensnøgler af netop den grund.
Hvem er det for?
Denne guide henvender sig til:
- Teams, der forbinder betalinger, abonnementer eller checkout-flows med deres egne systemer
- E-handelsvirksomheder, der synkroniserer ordrer, lager eller kunder mellem Shopify og andre platforme
- Virksomheder, der integrerer CRM-data fra Salesforce med interne værktøjer eller kundeportaler
- Produktejere, der gennemgår integrationsarbejde leveret af et bureau eller en freelancer
Hvad det hjælper med at afklare
At gennemgå kontrollerne hjælper med at afklare:
- Hvor legitimationsoplysninger opbevares, hvem der har adgang til dem, og hvordan de roteres
- Om webhook-endpoints verificerer signaturer og afviser usignerede eller genafspillede forespørgsler
- Hvordan fejl, genforsøg og dubletter håndteres uden at ødelægge data
- Hvilke data der kopieres mellem systemerne, og om det hele er nødvendigt
Hvad er inkluderet
- Hold hemmelige API-nøgler udelukkende på serversiden; brug publishable eller offentlige nøgler i klienter, hvor udbyderen understøtter det
- Opbevar hemmeligheder i en secrets manager eller en beskyttet konfiguration, aldrig i kildekode-repositories
- Anmod om de snævreste scopes og rettigheder; brug separate legitimationsoplysninger for hvert miljø
- Rotér legitimationsoplysninger efter en fast plan og straks efter udskiftning af medarbejdere eller leverandører
- Verificér webhook-signaturer med udbyderens dokumenterede metode, og afvis forespørgsler, der ikke består
- Kontrollér hændelsernes tidsstempler for at mindske risikoen for genafspilning, og registrér ID’er for behandlede hændelser
- Gør handlere idempotente, så gentagne hændelser ikke skaber dobbelte handlinger
- Brug idempotensnøgler eller tilsvarende sikringer ved udgående oprettelser, hvor det understøttes
- Håndtér rate limits med backoff, og sæt arbejde i kø i stedet for at droppe det
- Log integrationshændelser uden at logge hemmeligheder, kortdata eller unødvendige personoplysninger
- Alarmér en ansvarlig, når synkroniseringsjob eller webhooks fejler gentagne gange
- Test i udbyderens sandbox- eller testtilstand, før I skifter til live-legitimationsoplysninger
Hvad er ikke inkluderet?
- Validering af PCI DSS-compliance eller godkendelse fra betalingsindløser
- Svindelhåndtering eller håndtering af chargebacks
- En påstand om, at disse kontroller forhindrer enhver integrationshændelse
- Drift af tredjepartsplatforme, som fortsat er udbydernes ansvar
Hvornår du skal vælge det
Brug denne tjekliste, når I designer en ny integration, før idriftsættelse, når I overtager integrationskode fra et andet team, og efter enhver hændelse med dobbelte betalinger, manglende ordrer eller uventet adgang til data. Den er særlig vigtig, når en integration kan udløse finansielle handlinger, såsom opkrævninger, refusioner eller ændringer af abonnementer, eller kan eksponere kundeposter.
Vores tilgang
Behandl hver integration som et lille produkt med sin egen ejer, dokumentation og overvågning. Start med en oversigt over integrationer, legitimationsoplysninger og webhook-endpoints; mange organisationer opdager nøgler, som ingen husker at have oprettet. Anvend derefter kontrollerne ovenfor i rækkefølge efter risiko: først hemmeligheder og verifikation af signaturer, dernæst idempotens og fejlhåndtering og derefter logning og alarmering. Vores tjeneste Secure Backend & API Engineering designer og leverer backend- og integrationsarbejde med en API-kontrakt, et testresumé og en driftsrunbook, hvor produktionsadgang og kundedata kun bruges med udtrykkelig skriftlig autorisation. Hvor betalings- og abonnementslogik er involveret, kan Subscription & Payment Infrastructure Security gennemgå de aftalte betalings- og rettighedsforløb separat. Ønsker I en uafhængig kontrol af eksisterende integrations-endpoints, kan en sikkerhedsgennemgang af applikationer medtage dem i omfanget.
Ofte stillede spørgsmål
Relaterede artikler
Start
Planlægger eller gennemgår I en forretningskritisk integration?
Del de involverede platforme, de data og hændelser, der flyder mellem dem, og eventuelle problemer, I har set. Vi foreslår et skriftligt omfang.
Anmod om et skriftligt omfang