Liste de contrôle avant la mise en production

À vérifier

• Intégration testée en SandBox avec la clé pk_test_ : paiement réussi, expiré, retrait réussi, en échec et en vérification
• Compte vérifié, clé pk_live_ affichée et installée à la place de la clé de test
• Webhooks livemode: false ignorés par votre serveur de production
• Clé API et secret webhook stockés côté serveur, jamais dans le front ni dans le code source
• externalReference unique envoyée à chaque paiement et retrait
• Instructions affichées au client avec collectionNumber, le montant exact, le réseau et expiresAt
• Commande validée uniquement sur payment.succeeded (ou statut SUCCESS relu par l’API), jamais sur le retour du client
• Signature des webhooks vérifiée, horodatage contrôlé, doublons ignorés
• withdrawal.under_review traité comme « en cours » (pas de nouvel envoi)
• Erreurs gérées par cause, nouvel essai uniquement sur erreur 5xx ou réseau, avec la même externalReference
• Solde du portefeuille surveillé avant les retraits