• Toujours Idempotency-Key pour POST paiements / retraits.
• Vérifiez les webhooks avant de livrer la commande.
• Stockez request_id et payment id pour le support.
• Séparez variables d’environnement Test et Live.
• Ne loggez jamais la Secret key ni le secret webhook.