شرایط استفاده از APIهای بانکی پِی

این سند شرایط استفاده از وب‌سرویس‌ها و APIهای بانکی پِی را تعیین می‌کند. استفاده از هر کلید API، درخواست به هر endpoint یا دریافت خروجی از سرویس‌ها به‌معنای پذیرش کامل این شرایط است.

بانکی پِی مجموعه‌ای از سرویس‌های استعلام، پرداخت، احراز، صدور فاکتور، گزارش مالی و ابزارهای وابسته را در قالب API، پنل مدیریت و مستندات فنی ارائه می‌دهد. هر سرویس ممکن است شرایط تکمیلی، سقف مصرف و محدودیت‌های خاص خود را داشته باشد.

این شرایط جایگزین قراردادهای تجاری، SLA اختصاصی یا الحاقیه‌های امنیتی نیست؛ در صورت تفاوت میان این سند و قرارداد امضاشده، مفاد قرارداد اختصاصی ملاک عمل خواهد بود.

دسترسی به APIهای بانکی پِی صرفاً برای اشخاص حقوقی، توسعه‌دهندگان مجاز و شرکای تجاری قابل اعتماد است که فرایند احراز هویت، ارزیابی ریسک و تأیید دسترسی را تکمیل کرده‌اند.

هر مشتری مسئول حفظ محرمانگی کلیدهای API، توکن‌ها، رمزهای عبور، IPهای مجاز و هر ابزار احراز هویت دیگری است. هر درخواستی که با اعتبارنامه مشتری انجام شود، از نظر بانکی پِی به‌عنوان اقدام همان مشتری محسوب می‌شود.

مشتری باید دسترسی‌ها را بر پایه اصل کمترین امتیاز مدیریت کند، کلیدهای منقضی‌شده یا بدون استفاده را غیرفعال کند و در صورت افشا یا سوءاستفاده احتمالی، بلافاصله موضوع را از طریق کانال‌های پشتیبانی امنیتی اطلاع دهد.

تمام درخواست‌ها به API باید با روش احراز هویت اعلام‌شده در مستندات سرویس ارسال شوند. استفاده از کلید عمومی، توکن منقضی‌شده، امضای نامعتبر یا اعتبارنامه متعلق به محیط دیگر ممکن است منجر به پاسخ ۴۰۱ یا ۴۰۳ شود.

مشتری موظف است درخواست‌ها را از کانال‌های امن، با پروتکل HTTPS و بدون ثبت اطلاعات محرمانه در URL ارسال کند. کلیدهای API نباید در query string، لاگ‌های عمومی، پیام‌های سمت کلاینت یا کدهای فرانت‌اند منتشر شوند.

بانکی پِی حق دارد برای افزایش امنیت، روش احراز هویت را ارتقا دهد؛ از جمله محدودسازی IP، الزام به امضای دیجیتال، چرخش دوره‌ای کلیدها یا استفاده از OAuth و JWT با عمر مشخص.

APIهای بانکی پِی باید صرفاً برای اهداف قانونی، شفاف و منطبق با مستندات فنی استفاده شوند. مشتری حق ندارد سرویس‌ها را برای فعالیت‌های فریبکارانه، پول‌شویی، فیشینگ، جعل هویت، استخراج غیرمجاز داده یا نقض قوانین بانکی به کار گیرد.

هرگونه استفاده خودکار، تست بار، اسکن endpoint، مهندسی معکوس، دور زدن محدودیت‌ها یا ایجاد بار نامتعارف بدون هماهنگی قبلی ممنوع است. مشتریان باید معماری خود را به‌گونه‌ای طراحی کنند که از ارسال درخواست‌های تکراری و غیرضروری جلوگیری شود.

بانکی پِی ممکن است الگوهای مصرف، نوع داده ارسالی، حجم درخواست‌ها و رفتار برنامه‌های متصل را برای حفظ پایداری، امنیت و انطباق نظارتی بررسی کند.

بانکی پِی برای حفظ پایداری سرویس‌ها، محدودیت نرخ، سقف روزانه، سهمیه ماهانه و سیاست‌های burst control اعمال می‌کند. مقادیر دقیق محدودیت براساس نوع سرویس، پلن تجاری، سطح احراز و سیاست‌های عملیاتی تعیین می‌شود.

در صورت عبور از سقف مجاز، API ممکن است پاسخ‌های ۴۲۹، ۵۰۳ یا پیام‌های کنترل‌شده دیگری برگرداند. مشتری موظف است با استفاده از retry پس از backoff، صف‌بندی درخواست‌ها، کش نتیجه‌های مجاز و پایش سهمیه‌ها، از فشار تجمعی به سرویس جلوگیری کند.

بانکی پِی می‌تواند در شرایط اضطراری، حملات سایبری، اختلال زیرساخت یا الزامات نظارتی، محدودیت‌های موقت سخت‌گیرانه‌تری اعمال کند. این محدودیت‌ها ممکن است بدون اطلاع قبلی فعال شوند.

بانکی پِی داده‌ها را متناسب با نوع سرویس، دستورالعمل مشتری و الزامات قانونی پردازش می‌کند. مشتری مسئول قانونی بودن جمع‌آوری داده، اخذ رضایت لازم و تعیین هدف پردازش است.

داده‌های مالی، هویتی و تراکنشی باید فقط در حد ضرورت ارسال شوند. مشتری نباید اطلاعات اضافی، داده‌های حساس غیرمرتبط یا اطلاعات اشخاص ثالث را بدون مجوز معتبر به API ارسال کند.

بانکی پِی برای ارائه سرویس، پایش امنیت، رفع خطا، انطباق قانونی و بهبود کیفیت عملیاتی ممکن است لاگ‌های فنی، شناسه درخواست، زمان پاسخ، وضعیت خطا و داده‌های حداقلی پردازشی را نگهداری کند.

بانکی پِی از تدابیر امنیتی شامل رمزنگاری انتقال، کنترل دسترسی، پایش ناهنجاری، محدودسازی IP، چرخش کلید، ثبت رویدادهای امنیتی و تفکیک محیط‌های آزمایشی و عملیاتی استفاده می‌کند.

مشتری موظف است برنامه‌های متصل به API را به‌روز نگه دارد، آسیب‌پذیری‌های شناخته‌شده را رفع کند، وابستگی‌های ناامن را مدیریت کند و از ارسال داده در بسترهای ناامن خودداری نماید.

هرگونه تلاش برای نفوذ، اسکن آسیب‌پذیری بدون مجوز، دور زدن کنترل‌های امنیتی، دستکاری payload، replay attack یا بهره‌برداری از خطاهای سرویس نقض جدی شرایط محسوب می‌شود.

بانکی پِی تلاش می‌کند سرویس‌ها را با بالاترین سطح پایداری ارائه دهد، اما APIها ممکن است به دلایل نگهداری، ارتقای امنیتی، تغییرات بانکی، اختلال شبکه یا الزامات نظارتی با وقفه موقت مواجه شوند.

تغییرات غیرشکننده شامل بهبود مستندات، بهینه‌سازی عملکرد، افزودن endpoint، اصلاح پیام خطا یا افزودن headerهای اختیاری می‌تواند بدون اطلاع قبلی انجام شود. تغییرات شکننده باید تا حد امکان با دوره اخطار و راهنمای مهاجرت همراه باشند.

مشتری باید نسخه‌بندی API، fallback منطقی، مدیریت خطا و مکانیزم جبران را در برنامه خود پیاده‌سازی کند و نباید فرض کند همه درخواست‌ها همیشه موفق یا هم‌زمان پاسخ داده می‌شوند.

بانکی پِی با حسن نیت و مطابق استانداردهای صنعت برای ارائه سرویس تلاش می‌کند، اما مسئولیت خسارات ناشی از استفاده نادرست مشتری، خطای ورودی، تأخیر در انتقال داده از سوی شبکه‌های شخص ثالث، تصمیم‌گیری مالی خودکار یا عدم پیاده‌سازی کنترل‌های لازم توسط مشتری را نمی‌پذیرد.

خروجی APIها باید به‌عنوان ابزار کمکی در فرایندهای مالی و عملیاتی استفاده شود. مشتری مسئول بررسی نهایی، انطباق با قوانین، تطبیق حساب‌ها و جبران خطاهای ناشی از اتکای غیرمنطقی به داده‌های سرویس است.

در حدود مجاز قانونی، مسئولیت تجمعی بانکی پِی ناشی از هر ادعا، خطا یا اختلال مرتبط با API، محدود به مبالغی است که مشتری در سه ماه اخیر بابت سرویس مربوطه پرداخت کرده است.

بانکی پِی می‌تواند در صورت نقض شرایط استفاده، سوءاستفاده امنیتی، عدم پرداخت، تغییر ریسک مشتری، الزام قانونی، اختلال در زیرساخت یا رفتار مخرب، دسترسی به API، کلیدها، دامنه‌ها یا سرویس‌های خاص را به‌صورت موقت یا دائم محدود کند.

در موارد فوری مانند حمله سایبری، نشت اعتبارنامه، فعالیت مشکوک یا درخواست مراجع ذی‌صلاح، محدودسازی ممکن است بدون اطلاع قبلی انجام شود. در سایر موارد، بانکی پِی تلاش می‌کند پیش از خاتمه دسترسی، اخطار و فرصت اصلاح ارائه دهد.

پس از خاتمه دسترسی، مشتری باید استفاده از کلیدها را متوقف، داده‌های کش‌شده را مطابق قوانین حذف یا مستندسازی کند و هر اتصال فعال به سرویس را غیرفعال نماید.

بانکی پِی مستندات API، وضعیت سرویس، پیام‌های خطا و راهنمای مهاجرت را از طریق کانال‌های رسمی منتشر می‌کند. مشتری موظف است پیش از ثبت درخواست، مستندات و وضعیت فعلی سرویس را بررسی کند.

پشتیبانی فنی ممکن است شامل راهنمایی درباره احراز هویت، خطاهای API، محدودیت نرخ، نمونه درخواست، پایش و بهینه‌سازی مصرف باشد. پشتیبانی شامل توسعه کد اختصاصی برای مشتری، یکپارچه‌سازی کامل یا اصلاح معماری داخلی مشتری نیست، مگر در قراردادهای جداگانه.

برای گزارش مشکلات امنیتی، نقض داده یا سوءاستفاده از API، مشتری باید از کانال‌های رسمی و محرمانه استفاده کند و اطلاعات حساس را در تیکت‌های عمومی ارسال نکند.