Cette page explique comment consulter, renouveler et révoquer les clés utilisées pour l’intégration technique de la solution Axepta Online BNP Paribas depuis le Portail Marchand.

La gestion des clés permet au commerçant ou à son intégrateur technique de sécuriser les échanges entre son système et la plateforme Axepta Online, notamment pour les appels API REST, les notifications serveur à serveur et, selon le mode d’intégration, les échanges utilisant les clés HMAC ou le mot de passe de cryptage.

Le renouvellement régulier des clés est recommandé pour des raisons de sécurité. Une rotation maîtrisée permet de remplacer les anciennes clés sans interruption de service.


Vue d’ensemble de l'onglet "Gestion des clés"

Accès à la page de gestion des clés

Depuis le Portail Marchand Axepta Online, accédez à la section Gestion des clés. La page affiche les informations suivantes :

  • le commerçant sélectionné,
  • les données d’accès disponibles,
  • les clés principales et secondaires,
  • les actions possibles sur chaque clé,
  • l’historique des dernières activités.

Remarque : selon votre profil utilisateur, la section de gestion des clés peut ne pas être visible.

En haut à droite de l’écran, le champ Commerçant permet de sélectionner le compte marchand concerné (dans le cas d’une gestion multi-comptes (MIDs)).

Avant toute opération, vérifiez que le bon commerçant est sélectionné.
Les clés affichées et les actions réalisées s’appliquent uniquement au commerçant sélectionné.

Données d’accès disponibles

La section Données d’accès contient les éléments techniques nécessaires à l’intégration.

Selon la configuration du compte, les éléments suivants peuvent être affichés :

Élément

Description

Usage principal

Mot de passe de cryptage

Mot de passe utilisé dans certains modes d’intégration historiques ou spécifiques

Chiffrement ou sécurisation de certains échanges

Clé HMAC principale

Clé HMAC active principale

Signature ou vérification de messages

Clé API REST principale

Clé principale utilisée pour les appels API REST

Appels API REST en production ou en test

Clé HMAC secondaire

Clé HMAC secondaire

Rotation de clé ou double run

Clé API REST secondaire

Clé secondaire utilisée pour les appels API REST

Rotation de clé ou double run

Les valeurs des clés sont masquées par défaut. Une icône d’affichage permet de visualiser temporairement une clé si votre profil y est autorisé. Une icône de copie est également disponible pour copier la valeur dans le presse-papiers.

  • Icône d’affichage : permet de révéler temporairement la valeur masquée de la clé.
  • Icône de copie : permet de copier la clé dans le presse-papier pour une utilisation rapide.
  • Bouton de rafraîchissement : Menu des actions sur les CLés.

Actions disponibles sur les clés

Chaque ligne de clé dispose d’un menu d’actions accessible via l’icône située à droite du champ concerné.

Les actions disponibles peuvent sont les suivantes :

Action

Description

Effet

Créer

Génère une clé lorsque le champ est vide

La nouvelle clé devient utilisable immédiatement

Renouveler

Génère une nouvelle valeur pour une clé existante

L’ancienne valeur est remplacée

Révoquer

Désactive et supprime la clé

La clé ne peut plus être utilisée


la révocation d’une clé est immédiate. Une fois révoquée, la clé ne doit plus être considérée comme utilisable.

Renouveler une clé API REST principale

Utilisez cette procédure lorsque vous souhaitez remplacer la clé API REST principale.

Étapes

  1. Connectez-vous au Portail Marchand Axepta Online,
  2. Accédez à la section Gestion des clés,
  3. Vérifiez que le bon Commerçant est sélectionné (dans le cas d’une gestion multi-comptes (MIDs)),
  4. Dans la section Données d’accès, identifiez la ligne Clé API REST principale,
  5. Cliquez sur le menu d’actions situé à droite de la clé,
  6. Sélectionnez Renouveler la clé API REST principale,
  7. Confirmez l’action sur la page de confirmation qui s'affiche,
  8. Affichez ou copiez la nouvelle clé,
  9. Mettez à jour votre configuration avec la nouvelle clé,
  10. Testez les appels API REST avec la nouvelle clé,
  11. Vérifiez que les transactions ou opérations techniques attendues fonctionnent correctement.

 Zero-downtime rotation with secondary keys

For REST API integrations, Axepta Online may allow two sets of keys to be used in parallel : a primary key and a secondary key.

This feature is especially useful for rotating keys without service interruption.

Principle

The primary key remains used by the existing system while the secondary key is created or renewed.
The integrator then updates the application to use the new secondary key.
Once the new key has been validated, the old key can be revoked or renewed according to the defined strategy.

Recommended procedure

  1. Check which key is currently used by your system.
  2. Create or renew the secondary key.
  3. Configure your system to use this new key.
  4. Deploy the configuration.
  5. Perform technical tests:
    • simple REST API call;
    • transaction creation or retrieval;
    • notification or webhook validation, if applicable;
    • application log review.
  6. Monitor transactions.
  7. Once the new key is confirmed as operational, revoke the old key that is no longer required.

This approach reduces the risk of interruption because the old key remains available during the switch-over phase.

Revoking a REST API key

Revocation disables an existing key. It should only be used when you are sure the key is no longer used, or when compromise is suspected.

Steps

  1. Log in to the Axepta Online Merchant Portal.
  2. Open Key Management.
  3. Select the correct Merchant.
  4. Identify the key to revoke.
  5. Click the key action menu.
  6. Select Revoke.
  7. Confirm the operation.
  8. Check the activity history to confirm that the action was recorded.
  9. Make sure your system no longer use this key.

Important: a revoked key must no longer be used in your system. If the system continues to use a revoked key, the related API calls may fail.

Renewing an HMAC key

The HMAC key is used to sign or verify certain technical exchanges, especially when the integration relies on signature mechanisms.

Steps

  1. Open the Key Management section.
  2. Identify the Primary HMAC key or Secondary HMAC key.
  3. Open the action menu.
  4. Select the renewal action.
  5. Update your application configuration.
  6. Check that signatures generated or verified by your system remain valid.
  7. Review application logs and any authentication errors.

Latest activity history

The Latest activities section displays operations performed on keys.

It allows you to view:

  • the action or creation date;
  • the type of action performed;
  • the key concerned;
  • the operation details;
  • the user who performed the action;
  • the merchant concerned.

This section is useful for audit tracking, traceability and incident analysis.

Examples of visible actions:

  • key viewed;
  • key renewed;
  • key revoked;
  • encryption password viewed.

Export & Security

  • Keys cannot be exported as a file,
  • For security reasons, keys are hidden by default.