Go-live-checklist

Beveiliging

• Het secret van de API-sleutel staat alleen op de server (secret manager of omgevingsvariabele), niet in git, niet in de app en niet in de browser.
• Voor productie is een aparte sleutel aangemaakt; sandboxsleutels worden in productie niet gebruikt.
• Webhook: https://, publiek adres, poort 443; de handtekening wordt gecontroleerd op de ruwe body; tijdvenster van 5 minuten.
• Een order wordt alleen geleverd bij de status paid of overpaid uit GET /v1/invoices/{id}, niet op basis van de webhook of de return_url.
• Leveren is idempotent: een herhaalde webhook levert de order geen tweede keer.
• Facturen en events met livemode: false worden geweigerd.
• De serverklok is gesynchroniseerd (NTP).

Betrouwbaarheid

• Elke POST /v1/invoices heeft een Idempotency-Key op basis van het ordernummer; een retry na een netwerkfout gebruikt dezelfde sleutel.
• De webhookhandler antwoordt binnen 10 seconden, zwaar werk gaat in een queue.
• Er is een vangnet: orders die langer dan N minuten wachten, worden opnieuw gecontroleerd via GET /v1/invoices/{id}.
• underpaid, expired, late_payment, manual_review en invoice.reorged worden afgehandeld.

Klant

• Op de orderpagina is duidelijk: wacht op betaling, betaald, onderbetaling, verlopen.
• Zolang de factuur geldig is, staat er een link ‘Doorgaan naar betalen’ naar checkout_url.
• De mobiele app opent de betaling in de systeembrowser, de return_url is een universele link.
• Er is rekening gehouden met de regels van de App Store en Google Play voor digitale producten.

Getest in de sandbox

• Exacte betaling, onderbetaling met bijbetaling, overbetaling, twee helften.
• Verlopen factuur: een nieuwe factuur voor dezelfde order.
• Een vervalste en een verouderde webhook worden geweigerd; een herhaling levert niet dubbel.
• Rotatie van het webhooksecret en wisselen van API-sleutel zonder downtime.