Tu primer pago de prueba, paso a paso

# Obtén un token de acceso en Stage (válido por 5 minutos)
curl -X POST https://api.stage.localpayment.com/api/token/ \
  -H "Content-Type: application/json" \
  -d "{\"username\": \"$LP_API_USER\", \"password\": \"$LP_API_PASSWORD\"}"

// Receptor Express para webhooks de Localpayment (Node.js 18+).
import crypto from 'node:crypto';
import express from 'express';
import { jobQueue } from './queue.js'; // tu propia cola de trabajos asíncronos

const app = express();

// Carga el secreto del webhook desde tu gestor de secretos al iniciar. Nunca lo escribas en el código.
const WEBHOOK_SECRET = process.env.LP_WEBHOOK_SECRET;
if (!WEBHOOK_SECRET) throw new Error('LP_WEBHOOK_SECRET is not configured');

function hasValidSignature(rawBody, header) {
  if (typeof rawBody !== 'string') return false;
  // Formato del header: "x-Signature: HMAC-SHA256 <hex>". Quita el prefijo primero.
  const received = String(header ?? '').replace(/^HMAC-SHA256\s+/i, '').trim();
  if (!/^[0-9a-f]{64}$/i.test(received)) return false;

  const expected = crypto.createHmac('sha256', WEBHOOK_SECRET).update(rawBody, 'utf8').digest();
  return crypto.timingSafeEqual(Buffer.from(received, 'hex'), expected);
}

// El cuerpo es JSON enviado como Content-Type text/plain: conserva el texto crudo para el HMAC.
app.post('/webhooks/localpayment', express.text({ type: '*/*', limit: '1mb' }), (req, res) => {
  if (!hasValidSignature(req.body, req.get('x-signature'))) return res.sendStatus(401);

  let event;
  try {
    event = JSON.parse(req.body);
  } catch {
    return res.sendStatus(400);
  }

  res.sendStatus(200); // responde rápido, antes de cualquier trabajo pesado
  // Procesa de forma asíncrona. Deduplica por internalId/externalId + estado
  // para aplicar una sola vez cada reintento. Nunca registres el payload completo.
  jobQueue.enqueue(event);
});