Mise en service

Ce que vous recevez

Pour chaque application (ex. « Portail casiers »), l'équipe Epayment remet :

Élément	Format	Usage
Clé API secrète	sk_test_… / sk_live_…	Authorization: Bearer
Secret webhook	base64url (~43 car.) par endpoint	Vérification HMAC
URL checkout	Base publique	Dans la réponse API
application_id	UUID	Corrélation webhooks

La clé sk_ et chaque secret webhook ne sont affichés qu'une seule fois à la création. Stockez-les dans un coffre de secrets.

Configuration plateforme (côté Epayment)

Aujourd'hui via portail régie (officer) ou super-admin, pas via API ministry :

1. Création application (nom, URLs de retour optionnelles).
2. Endpoints webhook (URL HTTPS, événements).
3. Récupération webhook_secret à la création de l'endpoint.
4. Émission sk_test_ ou sk_live_.
5. Test ping (platform.webhook.ping).

Champ	Où	Remarque
URL webhook	Régie ou admin → Application → Webhooks	HTTPS en prod ; plusieurs endpoints
webhook_secret	Généré à la création endpoint	Un secret par endpoint
sk_*	Régie → Clés API	Test / live séparés
Origines embed	Application ou admin eGouv	Obligatoire pour mode=embedded

Procédure recommandée

1. Epayment crée l'application et configure les endpoints webhook.
2. Transmission sécurisée des secrets (hors email en clair).
3. Implémenter vérification HMAC avant tests bout en bout.
4. Ping webhook sur chaque endpoint.
5. Recette sandbox puis passage sk_live_.

Environnements

Env	Clé	Checkout	Webhook
Sandbox	sk_test_*	URL staging	URL recette
Production	sk_live_*	URL prod	URL prod HTTPS

Ne mélangez pas les secrets entre environnements.

Checklist recette

• [ ] POST /checkout/sessions → checkout_url ou embed
• [ ] Paiement sandbox (MM ou agence) ou SDK + verify-completion
• [ ] Webhook checkout.completed + signature validée
• [ ] Idempotence webhook (rejouer → pas de double effet)
• [ ] GET ?order_id= cohérent avec webhook
• [ ] platform.webhook.ping reçu
• [ ] Secrets hors code source

Support

Besoin	Qui
Application, clés, rotation secret	Officer régie ou équipe Epayment
Incident paiement / webhook	Équipe Epayment (journal x-epayment-event-id)