Sandbox

Ambiente hospedado para validar a integração sem impactar produção.

URL

https://sandbox.api.hiboupay.com.br

Use a mesma API pública (mesmos endpoints e contratos) apontando o baseUrl / host do curl para essa URL. Em produção: https://api.hiboupay.com.br.

Se a sandbox ainda não estiver disponível para a sua loja, a HibouPay informa o prazo no onboarding comercial — em breve. Este portal não documenta execução local da API.

Credenciais de teste

API key, merchantId e segredo de webhook de sandbox são fornecidos pela HibouPay:

• pelo painel HibouPay, quando disponível; ou
• pelo onboarding comercial.

Não compartilhe credenciais de sandbox em repositórios públicos. Trate-as com o mesmo cuidado das de produção.

O que validar no sandbox

1. Criar sessão (POST /v1/sessions) e obter checkoutUrl.
2. Consultar status (GET /v1/sessions/{id}) enquanto o fluxo avança.
3. Cancelar uma sessão ainda não terminal (POST /v1/sessions/{id}/cancel).
4. Receber webhooks no seu endpoint HTTPS (túnel público se estiver desenvolvendo localmente o seu backend) — configure o segredo no painel e verifique o HMAC no corpo cru.
5. Erros e limites — 401 sem chave, 409 de idempotência, respeito ao Retry-After em 429.

Detalhes de assinatura e eventos: Webhooks. Fluxo mínimo: Quickstart.

Diferenças em relação à produção

Checklist antes do go-live

• Fluxo create → redirect → webhook (ou status) validado no sandbox
• Verificação HMAC com corpo cru em produção-ready code
• Dedupe por X-HibouPay-Delivery-Id
• Tratamento de 409 / 429 / 422
• Credenciais de produção obtidas e armazenadas só no backend
• baseUrl apontando para produção apenas no deploy de produção