Ротация API-ключей

POST/api/v1/p2p/merchant/api-keys/rotateСтейдж

Атомарно заменяет существующие учётные данные. Возвращает новый токен и секрет. Grace-период ротации (подтверждённое поведение): исходящая пара остаётся валидной ограниченное окно (по умолчанию 15 минут, настраивается оператором через MERCHANT_KEY_GRACE_PERIOD, 0 отключает). Grace строго парный — в течение окна принимается только ПОЛНАЯ старая пара (старый токен + старый секрет); смешанные комбинации возвращают 401. Исходящие вебхуки подписываются НОВЫМ секретом немедленно.

Authorization

MerchantToken MerchantSignature MerchantTimestamp

X-Merchant-Token<token>

Публичный токен мерчанта (64 hex-символа), выдаётся при онбординге.

In: header

X-Signature<token>

Подпись HMAC-SHA256 (единая схема для всех эндпоинтов). Формат: t=<unix_seconds>,v1=<hex_hmac_sha256> где hex_hmac = HMAC-SHA256(webhook_secret, "<unix_seconds>.<raw_body>"). Окно replay: 5 минут (допускается дрейф 60 секунд в будущее).

In: header

X-Timestamp<token>

Unix-время отправки запроса в секундах. Окно подписи: 5 минут назад / 60 секунд вперёд.

In: header

Request Body

application/json

TypeScript Definitions

Use the request body type in TypeScript.

tenant_id?string

Formatuuid

merchant_id?string

Formatuuid

Response Body

`application/json`

`application/problem+json`

curl -X POST "https://example.com/api/v1/p2p/merchant/api-keys/rotate" \  -H "X-Merchant-Token: <MERCHANT_TOKEN>" \  -H "X-Timestamp: <UNIX_TIMESTAMP>" \  -H "X-Signature: t=<UNIX_TIMESTAMP>,v1=<HEX_HMAC_SHA256>" \  -H "Content-Type: application/json" \  -d '{}'

{  "token": "string",  "secret": "string"}

{  "type": "../dictionary",  "title": "string",  "status": 0,  "detail": "string",  "instance": "../dictionary",  "errors": [    {      "field": "amount",      "message": "must be greater than 0",      "code": "POSITIVE_REQUIRED"    }  ]}

Authorization

Request Body

Response Body

200application/json

401application/problem+json

`application/json`

`application/problem+json`