Referência rápida

Headers de request

• X-Api-Key: {prefix}.{type}.{secret}
• Content-Type: application/json
• Idempotency-Key: {chave} — apenas em POST /payments/transactions/:id/refunds

Headers de webhook

• X-Shatin-Event, X-Shatin-Timestamp, X-Shatin-Signature

Assinatura de webhook

HMAC-SHA256(signing_secret, "{timestamp}.{rawBody}") (hex)

Segredos

Mostrados uma única vez, no painel.

• API Key crua → ao criar a chave
• signing_secret (whsec_...) → ao cadastrar o endpoint de webhook

Convenções

• Valores monetários: inteiro em centavos
• Datas: strings ISO 8601
• Apenas PIX aceito de ponta a ponta