Checklist pós-geração (vibecode)

Valide antes de apontar para produção.

Segredos e ambiente

• Nenhum client_secret, certificado ou chave privada commitado
• Apenas HML nos primeiros testes ({{MODOBANK_API_BASE_HML}})
• Placeholders substituídos via env / cofre, não hardcoded no git

Fluxo técnico

• Chamada de token usa mTLS (cert + key)
• Bearer renovado antes de expirar
• PUT /cob/{txid} com valor, chave, calendario
• GET /cob/{txid} interpreta CONCLUIDA
• Webhook (se houver) responde 200 rápido e é idempotente por endToEndId
• Fallback de polling documentado se webhook falhar

Qualidade

• Código gerado comparado com snippets/ (mesma semântica)
• Erros 4xx logam body RFC 7807
• txid do pedido de negócio gravado no seu banco

Assinatura humana

• Teste manual em homologação concluído
• Revisado por um dev backend se o código for a produção