Lista de verificación para producción

Seguridad

• El secreto de la clave de API está solo en el servidor (gestor de secretos o variable de entorno), no en git, ni en la app, ni en el navegador.
• Se ha generado una clave independiente para producción; las claves del sandbox no se usan en producción.
• Webhook: https://, dirección pública y puerto 443; la firma se verifica sobre el cuerpo sin procesar; ventana de tiempo de 5 minutos.
• El pedido solo se entrega con el estado paid u overpaid de GET /v1/invoices/{id}, no según el webhook ni según return_url.
• La entrega es idempotente: un webhook repetido no entrega el pedido dos veces.
• Se rechazan las facturas y los eventos con livemode: false.
• El reloj del servidor está sincronizado (NTP).

Fiabilidad

• Cada POST /v1/invoices lleva un Idempotency-Key derivado del número de pedido; ante un error de red se reintenta con la misma clave.
• El gestor del webhook responde en menos de 10 segundos y el trabajo pesado va a una cola.
• Hay una conciliación de respaldo: los pedidos pendientes durante más de N minutos se vuelven a comprobar con GET /v1/invoices/{id}.
• Se gestionan underpaid, expired, late_payment, manual_review e invoice.reorged.

Cliente

• La página del pedido deja claro el estado: esperando el pago, pagado, pago insuficiente o plazo vencido.
• Hay un enlace «Ir al pago» a checkout_url mientras la factura sea válida.
• La app móvil abre el pago en el navegador del sistema y return_url es un enlace universal.
• Se han tenido en cuenta las normas de App Store y Google Play para productos digitales.

Probado en el sandbox

• Pago exacto, pago insuficiente con pago complementario, sobrepago y dos mitades.
• Factura vencida: una factura nueva para el mismo pedido.
• Un webhook falsificado o caducado se rechaza; un reintento no duplica la entrega.
• Rotación del secreto del webhook y cambio de la clave de API sin interrupciones.