适用人群

本文档面向使用微信支付商家转账到零钱 API 的开发者和业务人员。

前言

本文档的目的是最大限度地降低风险，保护商户资金安全。商家转账 API 升级了安全防控体系，但是如果商户在集成和使用时出现安全漏洞，仍会造成商户资金损失。因此，我们强烈建议商户开发者严格遵循本文档中的安全指南与最佳实践。

我们相信，商户严格遵循安全最佳实践，合理配置安全策略，采取防御性编程，并持续监控与审计，可以最大限度地减轻风险，保护自己的资金安全。我们衷心希望本文档可以成为您开发与运营过程中安全的重要参考。如有任何安全疑问，请随时与我们联系。

使用商家转账 API 的商户系统，存在以下主要风险：

特别是商户自建系统漏洞容易被黑产团体发现和利用。为了应对这些风险，微信支付提供了一系列的安全防御手段。但是这些措施的有效性还依赖于商户的正确集成与谨慎使用。

商户系统在接收到微信支付 API 应答时，应始终验证该应答的数字签名。如果签名验证成功，则表明该应答确实来自微信支付。如果不成功，则表明应答有安全风险，不应被商户系统信任。

签名验证是一种重要的安全最佳实践，可以有效防御中间人、重放攻击等威胁。它确保商户系统只处理真实的、未被篡改的、来自微信支付的应答，从而保护系统的稳定和安全。微信支付强烈建议商户系统对所有微信支付 API 验证签名。

商家转账 API 提供了一组转账额度限制：

商户运营人员应合理设定商家转账的各个额度，避免设置过大，可有效减少商户侧系统出现安全问题时的资金损失。

在使用商家转账 API 时，必须设置付款来源 IP 。设置后，仅指定 IP 可调用商家转账 API。该项设置可避免商户 API 密钥泄露后，“坏人”使用陌生 IP 发起调用。

微信支付会检测商户调用商家转账的异常行为。当检测到异常，将通过以下两种方式通知安全联系人：

若商户确认商家转账异常，暂时未排查到具体原因，可考虑先关闭API发起转账方式停止 API 接口发起转账。

当明细转账金额超过2000元时，发起批量转账时需传入加密后的用户姓名。用户姓名属于敏感信息，受到合规限制，商户应将其加密后存储在数据库中。

在以下的使用场景中，只允许向收款用户列表中的用户转账：

如果你的业务符合以上场景，请在发起批量转账时指定对应的场景 ID，并将员工或合作伙伴添加为收款用户，以避免给外部用户转账。

安全医生是微信支付提供给商户的一个免费安全服务。它可以帮助商户检测自建系统的漏洞，发现可能影响商户的安全问题，并提供修复建议，为商户资金安全保驾护航。

一旦安全医生检测到问题，它会生成一份报告，报告包含:

按照报告中的修复建议，商户应完善网站的安全设置，修复系统漏洞，有效降低安全风险，更安全地使用商家转账。

除了以上实践，商户侧系统需要考虑以下的安全措施：