API-ключ — заголовок Authorization: Bearer srdev_... для вызовов Safar Pay API.
Webhook secret — для проверки HMAC-подписи входящих POST на ваш URL.
Ключи создаются в партнёрском кабинете. При компрометации — отзовите и создайте новый.
API-ключ и webhook-секрет
API-ключ авторизует исходящие запросы; секрет webhook проверяет входящие уведомления.