---
title: Lista de verificación para producción
description: Qué comprobar antes de aceptar dinero real con Coinetic: seguridad de la API y los webhooks, fiabilidad, experiencia del cliente y escenarios en el sandbox.
url: https://coinetic.money/es/docs/go-live/
lang: es
---

# Lista de verificación para producción

Complétela antes de recibir dinero real. Las marcas solo se guardan en su navegador.

Completado: 0 de 0

## Seguridad

- El secreto de la clave de API está solo en el servidor (gestor de secretos o variable de entorno), no en git, ni en la app, ni en el navegador.
- Se ha generado una clave **independiente** para producción; las claves del sandbox no se usan en producción.
- Webhook: `https://`, dirección pública y puerto 443; la firma se verifica sobre el cuerpo sin procesar; ventana de tiempo de 5 minutos.
- El pedido solo se entrega con el estado `paid` u `overpaid` de `GET /v1/invoices/{id}`, no según el webhook ni según `return_url`.
- La entrega es idempotente: un webhook repetido no entrega el pedido dos veces.
- Se rechazan las facturas y los eventos con `livemode: false`.
- El reloj del servidor está sincronizado (NTP).

## Fiabilidad

- Cada `POST /v1/invoices` lleva un `Idempotency-Key` derivado del número de pedido; ante un error de red se reintenta con la misma clave.
- El gestor del webhook responde en menos de 10 segundos y el trabajo pesado va a una cola.
- Hay una conciliación de respaldo: los pedidos pendientes durante más de N minutos se vuelven a comprobar con `GET /v1/invoices/{id}`.
- Se gestionan `underpaid`, `expired`, `late_payment`, `manual_review` e `invoice.reorged`.

## Cliente

- La página del pedido deja claro el estado: esperando el pago, pagado, pago insuficiente o plazo vencido.
- Hay un enlace «Ir al pago» a `checkout_url` mientras la factura sea válida.
- La app móvil abre el pago en el navegador del sistema y `return_url` es un enlace universal.
- Se han tenido en cuenta las normas de App Store y Google Play para productos digitales.

## Probado en el sandbox

- Pago exacto, pago insuficiente con pago complementario, sobrepago y dos mitades.
- Factura vencida: una factura nueva para el mismo pedido.
- Un webhook falsificado o caducado se rechaza; un reintento no duplica la entrega.
- Rotación del secreto del webhook y cambio de la clave de API sin interrupciones.

> **¿Todo marcado?.** Genere la clave de producción en el [panel](https://dash.coinetic.money/merchant), cambie `baseUrl` a `https://pay.coinetic.money` y empiece a recibir sus primeros pagos reales.