إدارة الاعتماد

• لا ترفع sk_live_ أو أسرار webhook إلى git
• استخدم متغيرات بيئة أو مدير أسرار
• دوّر المفاتيح بعد الحوادث
• تطبيقات منفصلة للـ staging والإنتاج إن أمكن

تكامل الجوال

• تهيئة SDK مرة عند بدء التطبيق
• سجّل SHA256 للتطوير والإصدار
• استخدم sk_test_/pk_test_ للتطوير - اتصل برقم البوابة من هاتف المستخدم بعد waiting
• تحقق من receipt مرة واحدة على الخادم
• استخدم Idempotency-Key أو client_request_id لمنع التكرار
• وضّح للمستخدم: الاتصال من نفس الرقم
• عالج الجلسات queued: استمر بالاستعلام حتى waiting ثم اعرض رقم البوابة (gateway_phone_number = null أثناء الطابور)

تكامل الخادم

• فضّل webhooks على الاستطلاع المكثف
• تحقق من التوقيع بمقارنة timing-safe
• أعد 2xx بسرعة من webhook
• خزّن session_id مربوطاً بالمستخدم

الفوترة

• راقب الرصيد قبل الحملات
• عالج insufficient_credits في الواجهة
• ألغِ الجلسات المهجورة

الموثوقية

• لا تثبت gateway_phone_number - أعد قراءته في كل استعلام (يكون null أثناء queued ويُخصَّص لاحقاً)
• اضبط webhook قبل الإنتاج
• اختبر webhook
• سجّل request_id للأخطاء

الأمان

• HTTPS فقط
• قيّد بوابة Admin
• راجع سجل التدقيق بعد تدوير المفاتيح