Authentication

Bien qu'aucune authentification ne soit requise, Google prend en charge les options de sécurité suivantes au niveau des couches application et transport lors de l'appel des points de terminaison de l'API Native Checkout et de l'API Cart de l'entreprise.

Authentification au niveau de la couche application

Vous pouvez configurer vos points de terminaison d'API UCP pour authentifier les requêtes HTTP entrantes de Google à l'aide de clés API ou de jetons de support OAuth 2.0.

Clés API

En-tête HTTP : X-API-Key

Valeur secrète partagée qui sera utilisée dans l'en-tête HTTP de la requête du client API UCP de Google pour s'authentifier auprès du point de terminaison checkout.

OAuth 2.0 (recommandé)

En-tête HTTP : Authorization: Bearer <Access Token>

Conformément à la norme RFC 6749, l'agent de la plate-forme UCP de Google utilise les propriétés suivantes pour demander les jetons d'accès nécessaires à l'interaction avec le point de terminaison checkout.

mTLS (TLS mutuelle)

Google prend en charge mTLS (TLS mutuelle) au niveau de la couche réseau pour la validation de l'identité lors du handshake TCP/TLS. L'utilisation de mTLS permet à votre pare-feu périphérique, à votre équilibreur de charge ou à votre passerelle d'API de valider et d'ajouter à la liste d'autorisation le trafic Google UCP entrant sans dépendre de plages d'adresses IP dynamiques ni d'un filtrage géographique d'adresses IP.

Lors du handshake TLS, Google présente des certificats client de courte durée signés par les autorités de certification racine UCP dédiées de Google. Pour en savoir plus sur le modèle de sécurité à double couche de Google, consultez le guide d'intégration de la sécurité et de mTLS pour les partenaires.

Ancres de confiance (autorités de certification racine)

Pour éviter que les pare-feu périmétriques ne rejettent ou ne géobloquent les requêtes entrantes vers vos points de terminaison UCP, importez les autorités de certification racine UCP de Google dans le magasin de confiance de votre équilibreur de charge, de votre passerelle d'API ou de votre proxy inverse.

Certificat racine de production

Utilisez ce certificat racine pour le trafic de production actif provenant des services Google UCP.

Certificat racine de préproduction ou de bac à sable

Utilisez ce certificat racine pour les tests d'intégration en préproduction, les environnements sandbox et les outils de validation des clients UCP.

Télécharger et vérifier les certificats

Après avoir téléchargé un certificat CA racine, vérifiez que son empreinte SHA-256 correspond à l'empreinte publiée avant de l'ajouter à votre magasin de confiance :

# Download the Root CA certificate
curl -sSL https://ucp.goog/certs/google_ucp_root_ca.crt -o google_ucp_root_ca.crt

# Verify that the local certificate SHA-256 fingerprint matches
openssl x509 -noout -fingerprint -sha256 -in google_ucp_root_ca.crt

Configurer votre passerelle

Configurez l'authentification par certificat client sur votre équilibreur de charge périphérique ou votre passerelle d'API (par exemple, NGINX, Cloudflare Enterprise, AWS ALB, Kong, Envoy ou F5).

L'exemple suivant montre comment configurer NGINX pour valider les requêtes UCP entrantes à l'aide de l'autorité de certification racine Google UCP :

server {
    listen 443 ssl;
    server_name my-business.domain;

    ssl_certificate         /path/to/server.crt;
    ssl_certificate_key     /path/to/server.key;

    # Trust Google UCP Root CA for mTLS
    ssl_client_certificate  /path/to/google_ucp_root_ca.crt;
    ssl_verify_client       on;
    ssl_verify_depth        2;

    location /ucp/ {
        proxy_pass http://backend_ucp_service;
    }
}