Segurança e headers - OriPay API

Headers que você envia

Header	Obrigatório	Valor
`Authorization`	Sempre	`Bearer oripay_live_...`
`Content-Type`	Em `POST` com corpo	`application/json`
`Idempotency-Key`	Ao criar cobrança, transferência ou devolução	8 a 128 caracteres ASCII visíveis, sem espaço. Ver Idempotência
`User-Agent`	Recomendado	Nome e versão do seu sistema, ex. `codetech-pay/2.3`

Um X-Request-Id enviado por você é ignorado: a OriPay sempre gera o próprio ID da chamada. Corpo maior que 64 KB: 413 payload_too_large. JSON inválido ou campo desconhecido no corpo: 400 validation_error.

Headers que você recebe

Header	Significa
`X-Request-ID`	ID da chamada, gerado pela OriPay. O mesmo valor vem em `error.request_id`. Mande ao suporte junto com o horário
`Idempotency-Replayed: true`	A resposta é de um recurso já criado com essa `Idempotency-Key`; nada foi processado de novo
`RateLimit-Limit` / `RateLimit-Remaining` / `RateLimit-Reset`	Seu limite de chamadas. Ver Limites
`Strict-Transport-Security`	`max-age=31536000; includeSubDomains; preload`
`Cache-Control`	`no-store`. Não guarde respostas em cache intermediário

O que a OriPay faz por você

Guarda só o hash da chave de API e o secret do webhook criptografado.
Não registra em log a chave, o secret, CPF/CNPJ nem nomes.
Toda chamada que movimenta dinheiro fica registrada em auditoria, com chave, IP e horário.
Pagamentos passam por limite por janela, antifraude e conferência no extrato do banco.

Checklist do seu lado

Chave em cofre, nunca em código ou log.
Uma chave por sistema, só com os scopes necessários.
IPs fixos de saída cadastrados.
Assinatura de todo webhook validada. Ver Assinatura.
Retry sempre com a mesma Idempotency-Key.
Alerta no seu monitoramento para 401 e 403 em sequência.