Kunci penyedia (token/Server Key) dan kunci rahasia aplikasi disimpan terenkripsi dan tidak pernah ditampilkan ulang kecuali kunci rahasia aplikasimu sendiri (agar bisa disalin).
Setiap notifikasi masuk diverifikasi (token atau tanda tangan) sebelum diproses. Yang palsu ditolak dan hanya tercatat di Log teknis.
Pengiriman ke aplikasimu ditandatangani (HMAC-SHA256) dengan timestamp untuk mencegah pemutaran ulang.
Alamat aplikasi tujuan harus https dan publik; alamat internal/loopback ditolak (perlindungan SSRF), dan diperiksa lagi setiap pengiriman.
Log menyamarkan token, kunci, kata sandi, dan data kartu. Alamat webhook di log disamarkan.
Semua perubahan pengaturan tercatat di Riwayat aktivitas.
Data pelanggan terpisah per akun; setiap kueri dibatasi pada akun yang sedang masuk.
Paygate