Checklist de integración

Usa esta lista para no saltarte nada entre que pides el alta y pides que tu app pase a published. No hace falta hacerlo en este orden exacto, pero los primeros cinco son requisito para probar en el comercio de pruebas, y los últimos tres para pedir la publicación.

• Alta pedida a [email protected] con la plantilla de Pide tu alta.
• client_id y client_secret guardados en tu servidor (nunca en el navegador, nunca en el repo del cliente).
• Callback que valida state contra el guardado en sesión antes de canjear el code (ver Lo que tu app tiene que construir).
• Tokens (access y refresh) guardados cifrados, indexados por instalación.
• Renovación con el refresh token antes de que venza el access token, guardando siempre el refresh nuevo que te devuelve cada canje (es rotativo).
• Manejo explícito de 401 (token vencido o revocado: repite el flujo o refresca) y 429 (espera el tiempo de Retry-After antes de reintentar).
• Webhooks suscritos, con verificación de Wink-Signature (ventana de 5 minutos) y deduplicados por el id del evento.
• Probado el flujo completo contra el comercio de pruebas: conectar, operar, desinstalar.
• URL de política de privacidad pública y accesible.
• Publicación pedida a Wink (misma dirección de arriba), con el comercio de pruebas ya usado para la revisión.