أغلب المواقع المفيدة تعتمد على خدمات خارجية: جهة تستقبل الدفع بالبطاقة، وأخرى ترسل الرسائل، وثالثة ترسم الخريطة أو توصل البريد. وتتصل بها عبر API.
الربط سهل الوصف في المحادثة، لكن الربط الآمن يحتاج عادات قليلة. هذه هي.
الـ API يتيح لموقعك التحدث مع خدمة أخرى كالدفع والرسائل والخرائط. احفظ المفاتيح كأسرار في المشروع، واستدعِ الخدمة من جهة الخادم فقط، وتحقق من كل Webhook قبل أن تثق به.
ما مفتاح API وأين يُمنع وضعه
مفتاح API هو كلمة مرور لحسابك لدى تلك الخدمة. ومن يملكه يستطيع إنفاق مالك أو قراءة بياناتك، فلا يظهر أبداً في المحادثة ولا في كود الواجهة ولا في مستودع GitHub عام.
احفظ المفاتيح كأسرار في المشروع ودع الخادم يقرؤها. وإن تسرّب مفتاح فألغِه لدى المزوّد فوراً وأنشئ غيره.
استدعِ الخدمات الخارجية من الخادم
كل ما يعمل في متصفح الزائر يمكن فحصه. لذا يجب أن يتم الاستدعاء الذي يستخدم المفتاح السري على خادمك: المتصفح يطلب من خادمك، وخادمك يطلب من الخدمة.
بعض المفاتيح مخصصة لتكون علنية وتسمى غالباً مفاتيح النشر، وهي آمنة في المتصفح. اقرأ توثيق المزوّد لتعرف نوع مفتاحك.
- ابدأ بوضع الاختبار لدى المزوّد ومفاتيحه التجريبية.
- تعامل مع الأعطال: اعرض رسالة لطيفة إن توقفت الخدمة.
- التزم بحدود الطلبات كي لا يُحظر حسابك.
الـ Webhooks: الخدمة هي التي تتصل بك
الـ Webhook هو الاتجاه المعاكس: بعد نجاح الدفع يرسل المزوّد رسالة إلى عنوان في موقعك. وبه يعرف موقعك أن الطلب دُفع فعلاً.
ولأن أي شخص يستطيع إرسال رسالة مزيفة إلى ذلك العنوان، تحقق من التوقيع الذي يرسله المزوّد باستخدام سرّ تحفظه بأمان. وتعامل كذلك مع وصول الرسالة نفسها مرتين دون إنشاء طلب ثانٍ.
التكاليف والحدود والأنظمة المحلية
كثير من الخدمات مدفوعة أو لها باقة مجانية محدودة. الدفع والرسائل وبعض خدمات الخرائط والذكاء الاصطناعي تحاسب حسب الاستخدام، وهذه أسعار المزوّد نفسه وهي منفصلة عن بناء موقعك. راجعها قبل الإطلاق، وتذكّر أن الدفع بالريال السعودي قد يتطلب مزوّداً يدعم مدى وأبل باي.
وإذا كانت الخدمة تستقبل بيانات عملائك الشخصية فاعرف أين تُعالج واذكر ذلك في سياسة الخصوصية. هذه معلومات عامة وليست استشارة قانونية.
طلب جاهز تنسخه
«اربط موقع الحجز بمزوّد رسائل SMS لإرسال رسائل التأكيد. اقرأ مفتاح المزوّد من سرّ في المشروع، واستدعِه من الخادم فقط، وأضف مفتاح تبديل لوضع الاختبار، واعرض رسالة خطأ لطيفة إذا فشل الإرسال. سأضيف المفتاح كسرّ بنفسي.»