Boas práticas

Use timeouts, retentativa exponencial somente para erros transitórios e a mesma idempotência em todas as tentativas da mesma operação.

Valide HMAC antes do JSON, rejeite assinatura inválida, deduplique pelo ID e processe fora do request.

Correlacione referência, ID LeonaPay, idempotency-key e RequestId. Nunca registre chaves, segredos, PAN, CVV ou documentos completos.