---
title: Checklist de mise en production
description: À vérifier avant d'accepter de vrais paiements crypto avec Coinetic : sécurité, fiabilité, expérience client, scénarios testés en sandbox.
url: https://coinetic.money/fr/docs/go-live/
lang: fr
---

# Checklist de mise en production

Parcourez-la avant d'accepter de vrais paiements. Vos coches sont enregistrées uniquement dans votre navigateur.

Terminé : 0 sur 0

## Sécurité

- Le secret de la clé API est uniquement sur le serveur (gestionnaire de secrets ou variable d'environnement), ni dans git, ni dans l'application, ni dans le navigateur.
- Une clé **dédiée** a été émise pour la production ; les clés sandbox ne sont pas utilisées en production.
- Webhook : `https://`, adresse publique, port 443 ; signature vérifiée sur le corps brut ; fenêtre temporelle de 5 minutes.
- La commande n'est livrée que sur un statut `paid` ou `overpaid` lu via `GET /v1/invoices/{id}`, jamais sur la seule foi du webhook ou du `return_url`.
- La livraison est idempotente : un webhook rejoué ne livre pas la commande une deuxième fois.
- Les factures et événements avec `livemode: false` sont rejetés.
- L'horloge du serveur est synchronisée (NTP).

## Fiabilité

- Chaque `POST /v1/invoices` porte un `Idempotency-Key` dérivé du numéro de commande ; en cas d'erreur réseau, la relance réutilise la même clé.
- Le handler de webhook répond en moins de 10 secondes, les traitements lourds passent par une file d'attente.
- Un rapprochement de secours est en place : les commandes en attente depuis plus de N minutes sont revérifiées via `GET /v1/invoices/{id}`.
- Les cas `underpaid`, `expired`, `late_payment`, `manual_review` et `invoice.reorged` sont gérés.

## Expérience client

- La page de commande indique clairement l'état : paiement en attente, payé, sous-paiement, facture expirée.
- Un lien « Procéder au paiement » vers `checkout_url` est affiché tant que la facture est valide.
- L'application mobile ouvre le paiement dans le navigateur système, et le `return_url` est un lien universel.
- Les règles de l'App Store et de Google Play relatives aux biens numériques sont respectées.

## Testé en sandbox

- Paiement exact, sous-paiement suivi d'un complément, surpaiement, paiement en deux moitiés.
- Facture expirée : nouvelle facture pour la même commande.
- Les webhooks falsifiés ou périmés sont rejetés ; un webhook rejoué ne duplique pas la livraison.
- Rotation du secret de webhook et changement de clé API sans interruption de service.

> **Tout est coché ?.** Émettez votre clé de production dans le [tableau de bord](https://dash.coinetic.money/merchant), basculez `baseUrl` sur `https://pay.coinetic.money` et encaissez vos premiers paiements réels.