認証 - ZAFA PAY Developers

概要

ZAFA PAY APIはBearer Token認証を使用します。すべてのAPIリクエストには、Authorizationヘッダーにアクセストークンを含める必要があります。

アクセストークンの取得

アクセストークンは加盟店管理画面から取得できます。

管理画面にログイン

加盟店管理画面（https://app.zafapay.com）にログインします

加盟店設定を開く

サイドメニューから「加盟店設定」を選択します

アクセストークンを確認

「API設定」欄に表示されているアクセストークンを使用します

API エンドポイント

環境	Base URL	用途
Sandbox	`https://api.sandbox.zafapay.com`	テスト・開発用
Production	`https://api.zafapay.com`	本番環境

Sandbox環境と本番環境では異なるアクセストークンが必要です。

認証方法

すべてのAPIリクエストでAuthorizationヘッダーを設定します。

cURL

curl https://api.sandbox.zafapay.com/v1/payments \
  -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  -H "Content-Type: application/json"

Node.js

const response = await fetch('https://api.sandbox.zafapay.com/v1/payments', {
  method: 'POST',
  headers: {
    'Authorization': 'Bearer YOUR_ACCESS_TOKEN',
    'Content-Type': 'application/json'
  },
  body: JSON.stringify(data)
});

認証エラー

エラーコード	HTTPステータス	原因
`unauthorized`	401	トークンが不正または期限切れ
`forbidden`	403	アカウントが無効化されている

エラーレスポンス例

401 Unauthorized

{
  "error": {
    "code": "unauthorized",
    "message": "Missing or invalid authorization header"
  }
}

403 Forbidden

{
  "error": {
    "code": "forbidden",
    "message": "Merchant account is inactive"
  }
}

公開キー（S2S決済用）

サーバー間決済では、ブラウザからカード情報をトークン化するために別途公開キーを使用します。

キータイプ	プレフィックス	用途	公開範囲
アクセストークン	—	すべてのAPI操作（サーバーサイド）	クライアントに絶対公開しない
公開キー	`pk_test_` / `pk_live_`	トークン作成のみ（ブラウザ）	フロントエンドコードで使用可能

公開キーは加盟店管理画面の 加盟店設定 > API設定 から取得できます。

ブラウザ

// 公開キー — クライアントサイドで安全に使用可能
const zafapay = Zafapay('pk_test_xxxxx');
const { token } = await zafapay.createToken({ ... });

公開キーはトークンの作成のみに使用できます。決済、顧客情報、その他のAPIリソースにはアクセスできません。

セキュリティのベストプラクティス

🔒 トークンを安全に保管
アクセストークンを環境変数やシークレット管理サービスに保存し、コードにハードコードしないでください 🛡️ HTTPSを使用
すべてのAPIリクエストはHTTPS経由で行ってください 🖥️ サーバーサイドで呼び出し
アクセストークンをクライアントサイド（ブラウザ）に公開しないでください 🔄 定期的にローテーション
セキュリティのため、定期的にアクセストークンを再発行してください

概要

Payments

Customers

トークン

Webhook

認証

概要

アクセストークンの取得

API エンドポイント

認証方法

認証エラー

エラーレスポンス例

公開キー（S2S決済用）

セキュリティのベストプラクティス

​概要

​アクセストークンの取得

​API エンドポイント

​認証方法

​認証エラー

​エラーレスポンス例

​公開キー（S2S決済用）

​セキュリティのベストプラクティス

概要

アクセストークンの取得

API エンドポイント

認証方法

認証エラー

エラーレスポンス例

公開キー（S2S決済用）

セキュリティのベストプラクティス