Chính sách API/Webhook

API và webhook của ApiPay được cung cấp nhằm hỗ trợ:

• Đồng bộ giao dịch ngân hàng
• Nhận thông báo thanh toán realtime
• Đối soát giao dịch
• Tự động hóa thanh toán
• Tích hợp Open Banking
• Kết nối hệ thống tài chính và thương mại điện tử

Người dùng phải:

• Sử dụng API đúng mục đích hợp pháp
• Bảo mật API Key và thông tin xác thực
• Không chia sẻ token cho bên thứ ba trái phép
• Không khai thác lỗi hoặc gây ảnh hưởng hệ thống
• Không gửi request độc hại hoặc spam API

ApiPay có quyền:

• Giới hạn request
• Chặn IP
• Thu hồi API Key
• Tạm ngưng dịch vụ

nếu phát hiện hành vi bất thường hoặc nguy cơ ảnh hưởng hệ thống.

3.1 Trách nhiệm bảo mật

Người dùng chịu hoàn toàn trách nhiệm đối với:

• API Key
• Secret Key
• Access Token
• Refresh Token
• Webhook Secret

ApiPay khuyến nghị:

• Không hardcode key trong frontend
• Không public key lên GitHub
• Thường xuyên rotate key
• Giới hạn IP nếu có hỗ trợ

Để đảm bảo ổn định hạ tầng, ApiPay có thể áp dụng:

• Rate limit theo IP
• Rate limit theo API Key
• Queue xử lý webhook
• Chống spam request
• Giới hạn kết nối đồng thời

ApiPay có quyền thay đổi giới hạn hệ thống bất kỳ lúc nào nhằm đảm bảo ổn định dịch vụ.

5.1 Cơ chế hoạt động

Webhook được sử dụng để gửi dữ liệu realtime từ ApiPay đến hệ thống của người dùng khi phát sinh sự kiện như:

• Nhận tiền
• Chuyển tiền

5.2 Trách nhiệm người dùng

Người dùng phải đảm bảo:

• Endpoint webhook hoạt động ổn định
• Máy chủ có khả năng nhận request HTTPS
• Xử lý timeout phù hợp
• Xác minh chữ ký webhook nếu được hỗ trợ
• Không phản hồi quá chậm gây retry liên tục

5.3 Retry webhook

Trong trường hợp webhook thất bại:

• ApiPay có thể retry tự động nhiều lần
• Retry interval có thể thay đổi tùy hệ thống
• Không đảm bảo webhook luôn realtime tuyệt đối

Người dùng nên xây dựng:

• Cơ chế idempotency
• Retry nội bộ
• Queue xử lý riêng

để tránh mất dữ liệu hoặc xử lý trùng lặp.

ApiPay nỗ lực duy trì hệ thống hoạt động ổn định, tuy nhiên:

• Không cam kết uptime tuyệt đối 100%
• Có thể bảo trì định kỳ
• Có thể xảy ra gián đoạn ngoài ý muốn
• Phụ thuộc kết nối ngân hàng và đối tác thứ ba

Một số dịch vụ realtime có thể bị ảnh hưởng bởi:

• Độ trễ ngân hàng
• Rate limit đối tác
• Sự cố hạ tầng mạng
• Tấn công mạng

ApiPay áp dụng nhiều biện pháp nhằm bảo vệ API và webhook:

• HTTPS/TLS Encryption
• Firewall
• Logging
• Anti-DDoS
• Rate limiting
• Monitoring
• Abuse detection

Tuy nhiên, người dùng cũng có trách nhiệm tự bảo vệ hệ thống tích hợp của mình.

Nghiêm cấm sử dụng API/webhook của ApiPay cho:

• Spam giao dịch
• Tấn công hệ thống
• Quét dữ liệu trái phép
• Gian lận tài chính
• Giả mạo webhook
• Reverse engineering trái phép
• Phát tán mã độc
• Hoạt động vi phạm pháp luật

ApiPay có quyền:

• Chặn truy cập ngay lập tức
• Thu hồi API Key
• Lưu log phục vụ điều tra
• Phối hợp với cơ quan chức năng

nếu phát hiện vi phạm.

ApiPay có thể lưu:

• Request log
• IP address
• Header kỹ thuật
• Trạng thái webhook
• Metadata giao dịch

nhằm:

• Chẩn đoán lỗi
• Phòng chống gian lận
• Giám sát hiệu suất
• Điều tra sự cố bảo mật

ApiPay không chịu trách nhiệm đối với:

• Mất dữ liệu do endpoint người dùng lỗi
• Webhook không nhận được do cấu hình sai
• Thiệt hại từ hệ thống bên thứ ba
• Gián đoạn từ phía ngân hàng
• Request bị chặn bởi firewall người dùng
• Lỗi do lập trình tích hợp sai

Người dùng chịu trách nhiệm kiểm thử và đảm bảo hệ thống của mình hoạt động chính xác.

ApiPay có thể:

• Cập nhật endpoint
• Thay đổi cấu trúc response
• Thêm hoặc loại bỏ field
• Nâng cấp phiên bản API

Trong trường hợp thay đổi lớn, ApiPay sẽ cố gắng thông báo trước trong thời gian hợp lý.

ApiPay có quyền tạm ngưng hoặc chấm dứt quyền truy cập API/webhook nếu:

• Vi phạm chính sách
• Gây ảnh hưởng hệ thống
• Có dấu hiệu gian lận
• Rủi ro bảo mật cao
• Theo yêu cầu pháp luật

Mọi yêu cầu kỹ thuật hoặc báo cáo bảo mật vui lòng liên hệ:

APIPAY Technical Support
Website: apipay.vn
Email: [email protected]