Pasar a producción
Seguridad
Dónde guardar el clientSecret, cómo configurar el local y el terminal, y qué requisitos debe cumplir tu APK antes de pasar a producción.
Antes de pasar a producción, tu integración debe proteger las credenciales. La regla es sencilla: los secretos se quedan en tu servidor, nunca en tu TPV ni en tu APK.
Dónde va cada dato
| Dato | Qué es | Dónde va |
|---|---|---|
clientSecret |
Secreto. Identifica tu integración. | Solo en tu servidor, en un lugar seguro. |
venue-api-key |
Identifica el local. | Lo puede configurar el distribuidor desde el TPV. |
terminalId |
Identifica el terminal. | Lo puede configurar el distribuidor desde el TPV. |
Protege el clientSecret
El clientSecret debe estar en un lugar seguro, donde no se pueda manipular ni extraer.
- No lo incluyas en tu código compilado. Cualquier valor que viaje dentro de una app o un programa de escritorio se puede extraer de él.
- Guárdalo en tu servidor. Las llamadas que lo usan salen de tu servidor, no del dispositivo.
- No lo subas a un repositorio ni lo escribas en logs.
Configura el local y el terminal
venue-api-key y terminalId cambian en cada instalación, así que no deben ir fijados en el código. El distribuidor puede configurarlos directamente desde el TPV al instalarlo.
Si tu integración es una APK
- Firma tu APK en modo release. La APK que lleves a producción no puede estar firmada en debug.
- No incluyas credenciales dentro de la APK. Todo lo sensible debe estar en tu servidor.
Comprueba antes de la certificación
- El
clientSecretsolo está en tu servidor. - Tu código compilado y tus repositorios no contienen credenciales.
venue-api-keyyterminalIdse configuran por instalación.- Si tienes una APK, va firmada en release y no contiene credenciales.
Cuando lo tengas, continúa con la certificación.