Teste e produção
Resposta curta: a API não tem um ambiente sandbox separado. Cada instalação do SharkPay é um ambiente completo; a recomendação é manter uma instalação de homologação com chaves próprias.
Como testar com segurança
- Instalação separada. Suba uma instância de homologação (outra URL, outro banco, outras chaves). Em homologação, ligue os provedores apenas com credenciais de teste que eles fornecerem.
- Chaves distintas. Nunca reutilize as chaves de produção em homologação (e vice-versa). Rotacione ao migrar.
- Webhook local. Em desenvolvimento, exponha seu receptor por um túnel HTTPS. A instalação de homologação pode liberar destinos HTTP/privados apenas com WEBHOOKS_ALLOW_INSECURE=true — nunca em produção.
- Testes sem dinheiro. Sem provedor habilitado, criação de Pix/boleto/cartão responde 400 “método não habilitado”: ótimo para testar seu tratamento de erro. Autenticação, clientes, consultas, listagens e webhooks (ping) funcionam sem tocar em dinheiro.
- Valores pequenos. Para o primeiro teste real em produção, use R$ 1,00 e confirme o fluxo completo (criação → pagamento → webhook → conciliação).
Checklist de entrada em produção
| Item | Verificação |
|---|---|
| Chaves | Geradas para produção, guardadas em cofre/variável de ambiente, fora do repositório. |
| Token | Renovação automática ao receber 401; sem token em logs. |
| Webhook | URL https; assinatura verificada; deduplicação por id; resposta 2xx rápida. |
| Idempotência | Idempotency-Key derivada do pedido em todas as criações. |
| Conciliação | Job que consulta cobranças PENDING antigas. |
| Erros | Retentativa com backoff apenas onde indicado; alertas em 5xx. |
| Cartão | Se coletar dados de cartão: escopo PCI DSS tratado; sem log de número/CVV. |
| Primeiro pagamento | Valor baixo, ponta a ponta, em produção. |