Integração

Para onde avisamos

Chaves de API

A chave é da loja, não sua: se você sair da empresa, ela continua a funcionar e continua revogável por quem ficar.

Guias

O que é preciso saber para integrar, sem ter de perguntar.

• Cobrar — o pedido, os estados, e por que não se deve ficar perguntando
• Avisos de saída — como conferir a assinatura, e por que isso não é opcional
• Autenticação — a chave, o que ela pode e o que não pode
• A sua loja na API — o `X-Tenant-Id` e o isolamento
• Erros — o que cada estado significa e o que fazer

Como conferir a assinatura

Cada aviso leva o cabeçalho X-TrionPay-Signature no formato t=carimbo,v1=assinatura. Confira sempre antes de agir: o seu endereço não é segredo, e sem esta verificação qualquer pessoa que o descubra pode enviar “pagamento aprovado”.

…

Recuse o que for mais velho do que 300 segundos — sem isso, quem grave um aviso válido pode reenviá-lo mais tarde e ele continuará a conferir. E trate o mesmo id duas vezes como a mesma notícia: a rede nunca garante entrega exactamente uma vez.