Test i producció són sistemes separats: utilitzen altres credencials, compte comercial, webhooks, frau i de vegades mètodes diferents. Una comanda sandbox demostra la integració bàsica, no que el comerç estigui preparat per cobrar.
No alternis modes en una botiga activa sense control. Conserva primer l’estat de la transacció fallida i evita reintents.
Registra l’error real
Anota l’hora, l’ID de comanda, l’import, la moneda, el mètode i un error segur. Cerca al panell del proveïdor una transacció o intent rebutjat.
No desis targeta, CVV, token de wallet ni dades completes. Relaciona mitjançant request ID i transaction ID.
Determina si falla abans de sortir, durant l’autenticació, en tornar o en actualitzar l’estat.
Confirma el mode i les credencials
Verifica que WooCommerce està en live i utilitza claus públiques i secretes de producció del mateix compte.
Comprovació segura:
- mode seleccionat
- identificador merchant
- entorn on es va crear la clau
- estat i permisos
- cap secret als registresRota qualsevol secret exposat. No el mostris per demostrar que existeix.
Revisa l’activació comercial
El proveïdor pot permetre sandbox abans de completar la verificació d’empresa, banc o mètodes reals. Comprova restriccions, payout holds i capacitats de l’entorn live.
Confirma que la moneda, el país i el mètode estan habilitats. JavaScript en caché pot mostrar un mètode que l’API rebutja.
Només el propietari o una persona autoritzada ha de canviar dades legals o bancàries.
Compara el domini i HTTPS
Les wallets i els iframes poden exigir el registre del domini de producció. El checkout ha d’utilitzar HTTPS vàlid i no contenir mixed content.
Revisa orígens, redirects i return URL per a l’host canònic amb www o sense. Que staging estigui autoritzat no valida producció.
Inspecciona també Content Security Policy i l’SDK. Live pot utilitzar hosts diferents per a scripts, iframes i 3-D Secure. Una allowlist que només contempla sandbox bloqueja el navegador abans que PHP rebi l’intent.
Configura els webhooks live per separat
Sandbox i live acostumen a tenir endpoints, signing secrets i historials diferents. Confirma que producció apunta al domini final i rep els esdeveniments exigits.
Inspecciona les respostes: 403 pot ser el tallafoc i 500 necessita el registre PHP. No reutilitzis el secret sandbox.
Exclou només la ruta documentada de caché o seguretat incompatible.
Revisa frau i autenticació reals
Producció utilitza decisions de l’emissor, 3-D Secure, adreça, límits i scoring. Cerca el decline code i diferencia un rebuig del client d’un error d’integració.
No debilitïs totes les regles per fer passar una targeta. Prova un pagament autoritzat de baix valor i identifica la regla.
Comprova també la versió d’API fixada al compte i l’esperada pel connector. No canviïs la versió global sense revisar altres integracions.
Comprova la sortida del servidor
Els endpoints live poden estar bloquejats per egress, DNS, certificats CA antics o seguretat. Relaciona els logs de passarel·la amb errors PHP/cURL.
Verifica l’hora del servidor: les signatures fallen si el rellotge difereix. Actualitza PHP o certificats per la ruta compatible.
Comprova resolució IPv4 i IPv6. Un registre AAAA o proxy de sortida incorrecte pot afectar només producció. No desactivis la validació TLS.
Repara i prova en viu
Corregeix la frontera demostrada: credencials, capacitat del compte, domini, webhook, tallafoc o autenticació. Conserva una reversió.
Executa un únic pagament autoritzat de baix valor. Confirma una comanda, una captura, l’ID correcte, webhook, estoc i correu. Reemborsa pel procés normal si correspon.
Repeteix una segona ruta representativa només després de conciliar la primera, per exemple 3-D Secure o la wallet principal.
El manteniment recurrent ha de vigilar els webhooks live i fer proves després de canvis de domini, SSL, passarel·la o checkout. Sandbox és útil, però producció necessita evidència pròpia.