Construa com a sua IA favorita.

# Configure no servidor da sua integração
LOOPPAY_URL=https://flowpayments.net
LOOPPAY_API_KEY=SUA_CHAVE_LOOPPAY
LOOPPAY_WEBHOOK_SECRET=SEGREDO_DO_SEU_WEBHOOK

# No PowerShell, use curl.exe
curl "https://flowpayments.net/api/v1/products?limit=100&page=1" \
  -H "Authorization: Bearer SUA_CHAVE_LOOPPAY"

Integre meu sistema à API LoopPay v1.
Antes de escrever código, leia https://flowpayments.net/llms-full.txt e https://flowpayments.net/openapi.json.
Use https://flowpayments.net/api/v1 como base e LOOPPAY_API_KEY somente no servidor.
Não peça que eu cole a chave no chat e não use credenciais Supabase ou Woovi.
Implemente somente endpoints existentes no contrato. Comece com GET /products?limit=20&page=1 e percorra todas as páginas.
Produtos, subprodutos, fotos, estoque, cobranças e saques devem seguir os nomes, tipos e permissões documentados.
Em escritas, persista um UUID Idempotency-Key por operação e reutilize o mesmo corpo nas novas tentativas. Não crie outro pagamento ou saque após um timeout sem consultar o recurso.
Valide webhooks pelo corpo bruto, timestamp e HMAC SHA-256 antes de fazer JSON.parse. Deduplique event.id em banco com restrição UNIQUE e confirme apenas depois de persistir em uma fila durável.
No sandbox não há saldo real nem consumo de estoque. Não simule aprovação em produção.
Não registre chaves, estoque privado, entrega ou dados pessoais nos logs. Trate erros HTTP, paginação e limites.
Entregue o código, variáveis de ambiente sem segredos, testes automatizados e as instruções para executar.

const operationId = crypto.randomUUID(); // persista antes de enviar
const response = await fetch(process.env.LOOPPAY_URL + "/api/v1/payments", {
  method: "POST",
  headers: {
    Authorization: `Bearer ${process.env.LOOPPAY_API_KEY}`,
    "Content-Type": "application/json",
    "Idempotency-Key": operationId,
  },
  body: JSON.stringify({
    productId: "UUID_DO_PRODUTO_OU_SUBPRODUTO",
    quantity: 1,
    name: "Cliente exemplo",
    email: "cliente@exemplo.com",
  }),
});
const result = await response.json();
if (!response.ok) {
  // Em timeout/503: consulte a reserva antes de criar outra operação.
  throw new Error(result.error.message);
}
console.log(result.data.id, result.data.status);

// Verifique antes de fazer JSON.parse(rawBody).
import { createHmac, timingSafeEqual } from "node:crypto";
const timestamp = String(req.headers["x-looppay-timestamp"] || "");
const signature = String(req.headers["x-looppay-signature"] || "");
const expected = "v1=" + createHmac("sha256", process.env.LOOPPAY_WEBHOOK_SECRET)
  .update(timestamp + ".").update(rawBody).digest("hex");
const valid = /^\d{10,11}$/.test(timestamp)
  && Math.abs(Math.floor(Date.now()/1000) - Number(timestamp)) <= 300
  && /^v1=[a-f0-9]{64}$/.test(signature)
  && timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
if (!valid) throw new Error("Assinatura inválida");
const event = JSON.parse(rawBody.toString("utf8"));
// Persista event.id UNIQUE + job na mesma transação antes de responder 2xx.