Consulta de transacciones

-Advertencia de alcance y recomendaciones

El alcance de consulta de esta funcionalidad depende de las credenciales utilizadas (clientId/secretKey). Las KEYS por ISV permiten consultar las transacciones asociadas al ISV correspondiente. La consulta no se limita a un dispositivo o terminal específico: puede incluir distintos eid, sn o appId, siempre dentro del alcance de las credenciales utilizadas.

• No exponer de forma amplia. El backend que use estas credenciales debe estar detrás de la autenticación de usuario de la app (login, roles, permisos), igual que cualquier dato sensible de otros comercios/dispositivos del mismo ambiente.
• Nunca exponer al cliente/navegador. secretKey y AESKey deben vivir solo en variables de entorno del servidor. Si la firma o el desencriptado se hacen en el navegador, cualquiera puede extraerlas del bundle o del tráfico de red y consultar todo el ambiente.
• Filtrar explícitamente lo que se muestra al usuario final, aunque la API devuelva más de lo que ese usuario debería ver.
• Tratarlas como secretos de alto privilegio (mismo nivel que una clave de API de pasarela de pagos): rotación periódica, almacenamiento en secret manager, logs sin exponerlas, alertas ante filtración.