安全
安全與控制
入口即簽名，全程留痕
這些都不是頁腳上的徽章。下面每一項都是在程式碼裏、對已經抵達我們的請求真實執行的校驗。
HMAC-SHA256 簽名
每個請求都帶有由商戶密鑰推導出的 X-Signature，比對採用常數時間。
會過期的時間戳
X-Timestamp 為必填，過舊的簽名直接拒絕，被截獲的請求無法重放。
按賬戶的 API key
X-API-Key 標識發起調用的賬戶，與用於簽名的密鑰彼此獨立。
IP 白名單
限定哪些地址可代表該賬戶操作——同時作用於 API 與後台門戶。
角色權限，細至具體操作
角色按機構分別定義，選單存取與增刪改查權限可獨立配置。
獨立保存的審計記錄
登入、權限變更與重要操作記入獨立歷史，與資金賬本互相分開。
公司級接口
部分接口僅對公司層開放——在伺服器端強制，而非僅隱藏選單。
登入防護
登入嘗試受頻率限制，會話可被吊銷，並保留登入歷史。
雙重認證
門戶支援在登入時進行額外驗證。
憑證核驗
與銀行真實記錄核對，並保存其雜湊值以防止同一張憑證被重複使用。並非 OCR。
某條通道停了，支付不會跟着停
只跑一條通道的網關，會隨着那條通道一起停擺。AdeePay 持續給現有通道評分，並避開正在出問題的那條。
資金永遠不會不知去向
三條彼此獨立的確認途徑，確保即使 webhook 失敗，支付狀態依然能送達您手中。
第一層 — 簽名 Webhook
持續投遞並重試，直到您的伺服器返回 HTTP 200。
第二層 — Query API
隨時按 id 讀取這筆收款——系統中保存的狀態才是準的。
第三層 — 憑證兜底
客戶的轉賬憑證是第三條路徑，完全不依賴您的伺服器。