Diretrizes para Integracoes e API

1.1. A SymbolPay oferece chaves de API em ambiente de teste (test) e producao (live).

1.2. Chaves de teste nao processam pagamentos reais e devem ser usadas para validacao de integracoes.

1.3. Chaves de producao devem ser protegidas e nunca expostas em codigo cliente ou repositorios publicos.

2.1. As chaves de API sao geradas com entropia criptografica segura e exibidas uma unica vez no momento da criacao. A SymbolPay nao armazena a chave em texto plano.

2.2. O comerciante pode revogar chaves a qualquer momento. Chaves comprometidas devem ser revogadas imediatamente.

2.3. E recomendada a rotacao periodica de chaves e o uso de chaves distintas por integracao.

3.1. Webhooks permitem receber notificacoes de eventos (pagamento confirmado, expiracao, disputa) em tempo real.

3.2. Toda notificacao e assinada com HMAC-SHA256 utilizando um segredo exclusivo do endpoint. O receptor deve validar a assinatura.

3.3. URLs de webhook devem utilizar HTTPS e apontar para hosts publicos. URLs internas ou nao seguras serao rejeitadas (prevencao a SSRF).

4.1. A API possui limites de requisicoes por intervalo para garantir a estabilidade da plataforma.

4.2. Excedidos os limites, o cliente recebera resposta 429 e devera aguardar antes de tentar novamente.

4.3. O checkout publico possui limite de cobrancas pendentes por link para prevenir abuso.

5.1. Trate erros de API de forma graciosa, implementando retentativas com backoff exponencial.

5.2. Nao armazene dados sensiveis de pagadores em cache local sem criptografia.

5.3. Monitore os logs de webhook e confirme a idempotencia do processamento para evitar duplicidades.