Чекліст запуску

Безпека

• Секрет API-ключа лише на сервері (менеджер секретів або змінна середовища), не в git, не в застосунку й не в браузері.
• Для продакшну випущено окремий ключ; ключі пісочниці в продакшні не використовуються.
• Вебхук: https://, публічна адреса, порт 443; підпис перевіряється за сирим тілом; часове вікно — 5 хвилин.
• Замовлення видається лише за статусом paid або overpaid з GET /v1/invoices/{id}, а не за вебхуком і не за return_url.
• Видача ідемпотентна: повтор вебхука не видає замовлення вдруге.
• Рахунки й події з livemode: false відхиляються.
• Годинник сервера синхронізовано (NTP).

Надійність

• Кожен POST /v1/invoices — з Idempotency-Key на основі номера замовлення; повтор у разі мережевої помилки — з тим самим ключем.
• Обробник вебхука відповідає за 10 секунд, важка робота — у черзі.
• Є резервна звірка: замовлення, що очікують довше за N хвилин, повторно перевіряються через GET /v1/invoices/{id}.
• Оброблено underpaid, expired, late_payment, manual_review та invoice.reorged.

Покупець

• На сторінці замовлення зрозуміло: чекаємо на оплату, оплачено, недоплата, термін минув.
• Є посилання «Перейти до оплати» на checkout_url, доки рахунок чинний.
• Мобільний застосунок відкриває оплату в системному браузері, return_url — універсальне посилання.
• Враховано правила App Store і Google Play щодо цифрових товарів.

Перевірено в пісочниці

• Точна оплата, недоплата з доплатою, переплата, дві половини.
• Прострочений рахунок: новий рахунок для того самого замовлення.
• Підроблений і застарілий вебхуки відхиляються; повтор не дублює видачу.
• Ротація секрету вебхука та зміна API-ключа без простою.