Visión general
Las credenciales habilitan las integraciones de pagos online. El Secret debe permanecer en el backend y fuera de repositorios o interfaces públicas.
El Secret es confidencial.
El Secret debe permanecer solo en el backend y en almacenes de secretos adecuados.
Regenerar invalida la clave anterior.
Planifica el cambio del Secret para evitar indisponibilidad durante la rotación.
Cómo obtenerlas
- Accede a la Cuenta Digital IO.
- Entra en Ventas → Pagos Online.
- Habilita los pagos online, cuando corresponda al registro.
- Genera las credenciales y guarda los valores en un entorno seguro.
- Configura los medios de pago y, al final, las opciones de integración del checkout.
Campos
| Clave | Función | Observación |
|---|---|---|
email | Identificación asociada a la integración. | Se envía en la autenticación. |
io_seller_id | Identificador del seller/cuenta en el contexto IOPAY. | Se envía en la autenticación y se utiliza en el contexto de la operación. |
secret | Secreto de autenticación. | Se envía en la autenticación. Nunca lo expongas en el frontend. |
antifraud_id | Identificador relacionado con el plan antifraude. | No es necesario cuando la cuenta no tiene un plan antifraude activo. |
Autenticar la integración
Envía email, secret e io_seller_id para obtener el token utilizado en las siguientes llamadas a la API.
curl --request POST \
--url https://api.iopay.com.br/api/auth/login \
--header 'Content-Type: application/json' \
--data '{
"email": "tu_email",
"secret": "tu_secret",
"io_seller_id": "<IO_SELLER_ID>"
}'Respuesta
{
"access_token": "<ACCESS_TOKEN>",
"token_type": "bearer",
"token_scope": "transaction",
"expires_in": 3600
}access_token devuelto como Authorization: Bearer tu_token en las siguientes llamadas a la API.Configuración
Después de las credenciales, la configuración de pagos online puede incluir Crédito, Pix y Boletos, número de cuotas y parámetros del checkout.
URL de notificación.
Indica una URL HTTPS para recibir notificaciones de la operación.
Restricción HTTPS.
Restringe las integraciones al dominio esperado cuando la configuración lo exija.
URL del logotipo.
Asocia una URL HTTP/HTTPS de logotipo a las integraciones compatibles.
Buenas prácticas
- Guarda los secrets en variables de entorno o secret managers.
- No envíes el Secret en JavaScript ejecutado en el navegador.
- Separa sandbox/pruebas y producción.
- Planifica la rotación de claves sin interrumpir el procesamiento.
- Registra quién realizó cambios de credenciales en los entornos internos.