Secretos solo en tu servidor.client_secret, tokens de acceso/refresh y el secreto de firma de webhooks nunca llegan al navegador ni a un repositorio público. Si tu app tiene frontend, el frontend habla con tu propio backend, nunca directo con /public/v1 usando un secreto embebido.
Tokens cifrados en reposo, asociados siempre al par app + comercio (una instalación). Rota el cifrado si sospechas una fuga.
Mínimo de permisos. Pide solo los scopes que tu app usa de verdad: acelera tu revisión y reduce lo que se pierde si tu app se ve comprometida.
Logs sin tokens. No escribas Authorization, client_secret, refresh tokens ni el secreto de webhooks en tus logs, ni siquiera truncados a medias: trátalos como una contraseña.
Maneja los reintentos con cabeza: respeta Retry-After en un 429, usa backoff exponencial ante errores 5xx de la API, y nunca reintentes una escritura sin Idempotency-Key.
Valida la firma de cada webhook antes de procesarlo (ver Webhooks): un endpoint público sin verificación de firma es indistinguible de uno que acepta datos de cualquiera.
Deduplica por id, tanto en webhooks como en páginas con ?updatedSince=: la misma fila puede llegarte dos veces.
