Cuándo usar la Secure API, su base URL y la Secure API Key.
La Secure API es el ingress de Toku habilitado para recibir datos de tarjeta. Es una API distinta de la API pública: vive en su propio host, exige su propia credencial y está dentro del alcance PCI DSS de Toku.
Cuándo usarla
Usa la Secure API para cualquier request que transporte el número de una tarjeta, su CVV o su fecha de expiración.
Todo lo demás —invoices, customers, subscriptions, consulta de medios de pago ya inscritos— sigue viviendo en la API pública. Una vez que la tarjeta quedó inscrita, se opera con su token desde la API pública: el dato sensible no vuelve a salir de este ingress.
Base URL
https://secure.api.trytoku.comLas respuestas son JSON con códigos HTTP estándar. En los requests debes incluir el Content-Type como application/json, y el body debe ser un JSON válido.
Autenticación
Para comunicarte con la Secure API necesitas una Secure API Key. Es distinta de la API Key que usas en la API pública, y se solicita por separado — una no sirve en el otro ingress.
Toda llamada a la Secure API lleva dos headers:
| Header | Qué es |
|---|---|
x-api-key | Tu Secure API Key. |
x-org-id | El id público de tu organización. |
x-api-key: <SECURE-API-KEY>
x-org-id: <ID-ORGANIZACION>
EncriptaciónLos datos de tarjeta pueden viajar en claro o encriptados. La encriptación es opcional, pero recomendada: el procedimiento y los algoritmos soportados están en Encriptación de la data.