API 자격 증명

보호된 Wallet API는 BPMG가 발급하는 두 자격 증명을 사용합니다.

자격 증명	용도	요청 전송 여부
API Key	고객사 연동 식별	X-API-KEY로 전송
HMAC Key	요청 내용 서명	전송하지 않고 계산된 서명만 전송

자격 증명은 고객사와 환경에 귀속됩니다. 테스트 키를 운영 환경에서 재사용하지 않습니다.

보관 규칙

• 서버 측 Secret Manager에 저장합니다.
• 브라우저·모바일 앱·Git·컨테이너 이미지·지원 문의에 포함하지 않습니다.
• 인증 헤더와 민감한 요청 본문이 로그에 남지 않도록 마스킹합니다.
• 요청에 서명하는 서비스 프로세스만 비밀에 접근하도록 제한합니다.
• 합의된 온보딩 절차로 키를 교체합니다.

고객 앱은 고객사 인증 백엔드를 호출하고, 백엔드가 고객 권한을 확인한 뒤 OOLIN 요청에 서명해야 합니다.

인증 실패는 error.code와 error.action으로 처리하며 잘못된 키나 서명을 무한 재시도하지 않습니다.

키 교체 절차

두 키 값을 노출하지 않은 상태에서 교체를 준비합니다. 새 자격 증명을 배포하고 활성 secret 참조를 전환한 뒤 서명된 읽기 요청으로 검증하고, 합의된 절차에 따라 이전 자격 증명을 폐기합니다. 두 키의 중첩 사용이 명시적으로 지원되지 않았다면 동시에 유효하다고 가정하지 말고 통제된 전환 시간을 조율합니다.

로그 경계

Endpoint template, HTTP 상태, request_id, 안정적인 오류 코드, 내부 자격 증명 별칭은 기록할 수 있습니다. HMAC Key, API Key, signature, 전체 서명 문자열, 고객 데이터가 포함된 요청 본문은 기록하지 않습니다.

자격 증명 유출은 재시도 가능한 API 오류가 아닙니다. 영향을 받는 트래픽을 중단하고 키를 교체하며 안전한 별칭과 발생 시각으로 요청 로그를 조사한 뒤 지원 채널에 문의합니다.