Falta documentación sobre el HASH de seguridad y observaciones sobre la verificación lado servidor #4
Description
El hash de seguridad tiene una llamada pero no hay ninguna explicación de como se válida que la notificación de estado sobre notifyUrl sea realmente proveniente de Banwire.
La documentación tal como está no menciona que este proceso es necesario lo que alienta a que los programadores que estén implementando la API basándose en esta documentación no tengan en consideración esta comprobación desde el lado servidor necesaria.
El resto de los eventos success JS son útiles pero no son suficiente para comprobar el proceso de compra ya que son fácilmente spoofeables por el cliente (al igual que la notifyUrl).
Se debería alentar a una verificación desde el lado servidor y explicar el método de verificación posible.
Así mismo debería existir una URL para iniciar la verificación desde el lado servidor (no solo recibir lo cambios de estado), por si al momento del POST de Banwire hacia el servidor, este último está caído. Si la llamada es recurrente hasta que el servidor conteste positivamente debería documentarse.