Receba por PIX e tenha o dinheiro no saldo na hora.

# 1) Pedido: volta com os links "robot" e "pagamento"
curl -X POST https://api.lunexpay.com.br/v2/cobrancas \
  -H "X-Auth-Public: $AUTH_PUBLIC" -H "X-Auth-Private: $AUTH_PRIVATE" \
  -H "Idempotency-Key: pedido-1042" -H "Content-Type: application/json" \
  -d '{ "metodo": "PIX", "valor": 149.90,
        "pagador": { "nome": "Maria Silva", "cpfCnpj": "52998224725" } }'

# 2) Senha da API no robot: só agora a cobrança é gerada
curl -X POST https://robot.lunexpay.com.br/auth/verify/1iojsdapien123ks... \
  -H "Content-Type: application/json" -d '{ "senha": "'$SENHA_API'" }'

# 3) QR Code e copia e cola
curl https://pagamento.lunexpay.com.br/api/v2/pag/1asjdn19u23nd... \
  -H "X-Auth-Public: $AUTH_PUBLIC" -H "X-Auth-Private: $AUTH_PRIVATE"

const auth = { 'X-Auth-Public': process.env.AUTH_PUBLIC, 'X-Auth-Private': process.env.AUTH_PRIVATE };
const json = { 'Content-Type': 'application/json' };

// 1) Pedido
const { links } = await (await fetch('https://api.lunexpay.com.br/v2/cobrancas', {
  method: 'POST',
  headers: { ...auth, ...json, 'Idempotency-Key': `pedido-${pedido.id}` },
  body: JSON.stringify({ metodo: 'PIX', valor: 149.90,
    pagador: { nome: 'Maria Silva', cpfCnpj: '52998224725' } }),
})).json();

// 2) Senha da API no robot
await fetch(links.robot, { method: 'POST', headers: json,
  body: JSON.stringify({ senha: process.env.SENHA_API }) });

// 3) Pagamento
const { cobranca } = await (await fetch(links.pagamento, { headers: auth })).json();
mostrarPix(cobranca.pix.copiaCola, cobranca.pix.qrCodeBase64);

POST /sua-rota-de-webhook
Content-Type: application/json
X-Gateway-Evento: cobranca.paga
X-Gateway-Assinatura: t=1793476863,v1=5b1f0c...

{
  "id": "evt_Pq72...",
  "tipo": "cobranca.paga",
  "criadoEm": "2026-10-31T18:21:03.000Z",
  "dados": {
    "id": "cob_mZp3A0kq9uWm1xYd", "status": "PAGO",
    "valor": 149.9, "taxa": 6, "liquido": 143.9
  }
}

const crypto = require('crypto');

app.post('/webhooks', express.raw({ type: 'application/json' }), (req, res) => {
  const partes = String(req.get('X-Gateway-Assinatura') || '')
    .split(',').map((p) => p.split('='));
  const t = Number(partes.find(([k]) => k === 't')?.[1]);
  const esperada = crypto.createHmac('sha256', process.env.WEBHOOK_SEGREDO)
    .update(`${t}.${req.body}`).digest('hex');
  const valida = partes.some(([k, v]) => k === 'v1' && v.length === esperada.length
    && crypto.timingSafeEqual(Buffer.from(v), Buffer.from(esperada)));
  if (!valida || Math.abs(Date.now() / 1000 - t) > 300) return res.sendStatus(401);
  res.sendStatus(200);
});