获取 API Key
在商家控制台获取
- 使用有权限的商家账号登录控制台，并选择要对接的商户。
- 打开 开发者 → 开放 API（控制台页面路径
/api-keys）。 - 点击 创建 API Key，填写便于识别的名称，例如「测试环境 CRM」。
- 复制 API Key 和 Secret，分别配置到你服务端的环境变量或凭证管理系统。
当前实现的列表页也可查看和复制已有 Secret；不要误以为它只在创建时展示。无法看到页面或凭证时，联系商家账号管理者核对权限，不要借用其他商户的凭证。
两个值各做什么
| 名称 | 用途 | 是否放到请求里 |
|---|---|---|
| API Key | 识别调用凭证及所属商户 | X-API-Key 请求头 |
| Secret | 本地计算 HMAC 签名 | 不发送，只发送算出的 X-Signature |
Secret 不是 API Key，也不是商家登录密码。复制时不要带入首尾空白。
保管与撤销
- 测试和生产使用各自环境中的凭证；建议为不同用途创建独立凭证，便于撤销。
- 常规业务调用放在你的服务端，不把 Secret 嵌入网页、移动 App、源码仓库或日志。
- 凭证泄露时在控制台撤销旧 Key，并创建新 Key 替换服务端配置。撤销后旧 Key 不能再签名调用。
- 在线调试 是临时排查工具：输入 Secret 后它会出现在当前浏览器内存中，只在可信设备上使用；调试结束点击「清除凭证与结果」。
控制台的凭证管理接口属于商家后台，不是本套 Open API 的接口；对接系统通过管理员取得凭证后再调用开放接口。