Секреты и доступ

• Ключ хранится только на сервере; логи и APM маскируют Authorization.
• Внутренний пользователь может читать и отменять только свои order.id.
• Ротация проверена во всех экземплярах приложения.

Покупки и восстановление

• UUID и тело покупки фиксируются транзакционно до запроса.
• Повтор задания после перезапуска использует прежний Idempotency-Key.
• maxPrice задаётся сервером на основании разрешённого бюджета.
• Проверены таймаут до ответа, 409 pending и потеря соединения после принятия покупки.
• Автоматические повторы ограничены, неопределённые операции доступны оператору.

Опрос и данные

• Общий лимит 60 запросов учитывает все процессы и методы.
• Интервал опроса не меньше 5 секунд; конечный статус завершает задачу.
• SMS хранится строкой, даты — в миллисекундах, деньги — в RUB.
• История дедуплицируется по ID; null корректно обрабатывается.

Наблюдаемость

Логируйте собственный ID операции, метод, путь без секретов, HTTP-статус, длительность и число повторов. Отслеживайте долю 429, 5xx и неопределённых покупок. Не записывайте полный ответ с телефоном и SMS без необходимости.