## Confirme o ambiente e o acesso

- Endereço oficial da API confirmado para seu ambiente habilitado.
- Chave armazenada somente no backend e com permissões necessárias.
- Credenciais e dados separados entre testes e produção.
- IPs e escopo de download autorizados quando houver acesso a arquivos.

## Cubra o ciclo completo

Crie uma transação, persista sua correlação, abra a jornada retornada e consulte o resultado. Valide também rejeição, expiração e revisão manual; testar apenas a aprovação deixa decisões importantes sem tratamento. Uma etapa intermediária não libera o processo como aprovado.

Simule perda de resposta no POST e confirme a repetição com a mesma chave de idempotência. Envie eventos duplicados e fora de ordem ao seu consumidor e confirme que o GET reconcilia o estado sem repetir efeitos de negócio.

## Verifique o receptor de eventos

- Corpo bruto preservado antes do parser JSON.
- HMAC e política temporal validados antes do processamento.
- Aceitação durável, deduplicação por `event_id` e recuperação de falhas.
- Logs sanitizados e segredos ausentes de URLs e ferramentas públicas.

## Prepare a operação

Defina quem acompanha pendências, falhas de entrega e transações expiradas. Documente como interromper a continuidade de negócio durante uma indisponibilidade, como reconciliar depois e como entrar em contato com suporte sem compartilhar dados pessoais desnecessários.

Confirme os requisitos de finalidade, acesso e retenção com as áreas responsáveis. O simulador valida compreensão do contrato; não certifica sua infraestrutura nem representa uma verificação real. A liberação de produção depende da habilitação e da validação operacional acordadas para sua integração.