Checklist de implementación

Credenciales almacenadas solo en el servidor (variables de entorno / secret manager), nunca
en el bundle de frontend.
Endpoint propio protegido por login/sesión de usuario antes de dejar pasar la consulta a
Nebula.
Firma HMAC-SHA512 implementada y probada contra un ejemplo conocido.
Desencriptado AES-GCM implementado, con manejo de error por registro (no bloqueante).
Filtrado adicional en la app si el acquirerId cubre más alcance del que el usuario final debería
ver.
Logs y monitoreo sin exponer secretKey/AESKey en texto plano.
Validar code === 20000 de la respuesta como chequeo de negocio, no solo el status HTTP.