Checklist producción

Antes de poner la integración en producción, deben validarse los siguientes puntos:

Auth y seguridad

• La API key vive solo en backend, nunca en frontend.
• La key está en un gestor de secretos (no en código ni .env commiteados).
• El webhookSecret está almacenado de forma segura.
• La key cuenta únicamente con los scopes necesarios (principio de menor privilegio).
• Se implementó la verificación HMAC en el webhook receiver.
• Se utiliza timingSafeEqual (no ===) para comparar firmas.

Manejo de errores

• Se reintentan 429 y 5xx con backoff exponencial.
• No se reintentan los 4xx (excepto 429).
• Se registran los errores con contexto suficiente para debugging.
• Existen alertas para errores de Hacienda.

Idempotencia y duplicados

• Se utiliza Idempotency-Key en todos los POST /facturas.
• La key se genera antes del primer intento, no dentro del loop.
• El webhook receiver deduplica con nonce.

Performance

• Timeouts apropiados (30 s en POST, 10 s en GET).
• Los webhooks se procesan de forma asíncrona (se responde 2xx con prontitud).
• Se reutilizan las conexiones HTTP (keep-alive).
• Se respeta el rate limit (sin ráfagas de requests).

Operación

• Existe monitoring (latencia, error rate).
• Existen alertas (5xx, comprobantes rechazados).
• Existen dashboards básicos.
• Se registra el prefijo de la key para soporte.
• Se conoce el procedimiento para rotar la key sin downtime.

Datos

• Se persiste la clave de cada emisión en la base de datos del integrador.
• Se maneja el caso rechazado con notificación al usuario.
• Se almacenan los PDF/XML si se requieren localmente (no debe dependerse únicamente de LX).

Conformidad

• Se conoce el procedimiento a seguir en caso de rechazo (informar al cliente, reemitir, etc.).
• Se conoce la política de retención de la jurisdicción correspondiente.
• Se consultó al contador sobre flujos especiales (NC, ND, contingencia).