Seguridad de conexión

Toda comunicación con https://api.pos.lxsyscr.com está cifrada y validada en transporte. Estas son las garantías y obligaciones del canal:

• TLS 1.2+ obligatorio. Las versiones anteriores se rechazan.
• HTTPS only — los redirects de http:// a https:// están deshabilitados; se devuelve 400 Bad Request directamente para evitar fugas de la API key en el primer hop.
• Certificado válido — emitido por una CA pública verificable.
• HSTS activo con max-age=31536000; includeSubDomains; preload.

Para integradores

• Debe usarse siempre la URL literal https://api.pos.lxsyscr.com; no debe construirse dinámicamente.
• Debe verificarse el certificado TLS en el cliente HTTP. La mayoría de los clientes lo hace por defecto — no debe deshabilitarse “para pruebas”.
• No debe publicarse la API key en builds del frontend; debe mantenerse siempre del lado del backend.