Update to Tchin

{
  "description": "La liste à vérifier avant de passer une intégration Tchin en réel : compte, clés, env live, webhook signé et idempotent, statuts, anciens appels, premier paiement réel.",
  "included_files": [],
  "name": "tchin-avant-reel",
  "skill_md_contents": "---\nname: tchin-avant-reel\ndescription: \"La liste à vérifier avant de passer une intégration Tchin en réel : compte, clés, env live, webhook signé et idempotent, statuts, anciens appels, premier paiement réel.\"\n---\n\n# Tchin : avant de passer en réel\n\nÀ cocher, point par point, avant d'écrire `\"env\": \"live\"`. Dites au développeur ce qui manque, avec le correctif.\n\n## Le compte\n- [ ] Le compte Tchin est **vérifié** (vérification d'identité faite) et le **Tchin PIN** est créé : il protège la lecture de la clé secrète.\n- [ ] L'application est réglée sur https://tchin.tech/api : nom et image (vus par vos clients dans la feuille), moyens acceptés, qui paie les frais.\n\n## Les clés\n- [ ] La clé secrète `tchin_sk_…` est dans une variable d'environnement du serveur (`TCHIN_SECRET_KEY`), jamais dans le navigateur, une application mobile, un dépôt Git, un journal ni une capture.\n- [ ] Le navigateur ou l'application reçoit seulement le `token` et ouvre `TchinPay.open({ token })`.\n- [ ] Si une clé a pu fuir : supprimez cette application sur https://tchin.tech/api et créez-en une nouvelle (nouvelles clés).\n\n## La création\n- [ ] `\"env\": \"live\"` est écrit à chaque création (paiement, abonnement, versement, vérification d'identité).\n- [ ] Le montant est calculé par votre serveur, en F CFA entiers (de 100 F à 100 000 000 F), jamais pris tel quel du navigateur.\n- [ ] `callback_url` est une adresse HTTPS publique.\n- [ ] Les quatre statuts sont gérés : `pending`, `completed`, `failed`, `cancelled`.\n\n## Le webhook\n- [ ] La signature est vérifiée (HMAC-SHA256, comparaison à temps constant, `timestamp` de moins de 10 minutes).\n- [ ] `mode` vaut `live` avant de livrer, et le montant reçu est celui de la commande.\n- [ ] Le traitement est idempotent : une même `reference` ne livre qu'une fois.\n- [ ] La réponse `200` part en moins de 10 secondes ; le travail long se fait ensuite.\n\n## Les anciens appels\n- [ ] Plus aucun appel à `POST /payments/{token}/charge`, `POST /payments/{token}/crypto` ni `POST /subscriptions` avec `customer_phone` : ils répondent `410` dès le 1er décembre 2026.\n\n## Le premier paiement réel\n- [ ] Un petit paiement réel (100 F par exemple) avec votre propre numéro, du début à la fin : feuille, webhook, commande payée, argent sur votre solde du bon pays.\n- [ ] Le net et les frais sont ceux attendus : frais à la charge du client, il paie un peu plus et vous recevez le montant ; à votre charge, il paie le montant et vous recevez moins.\n- [ ] Les erreurs montrées au client sont claires (le `message` de Tchin est en français).\n\n## Ensuite\n- Limites : 120 appels par minute par application ; un versement Mobile Money de 500 F à 1 500 000 F.\n- L'état des réseaux : https://statut.wintg.group\n- Votre argent se retire depuis tchin.tech (Mobile Money ou crypto).\n\n## Règles de sécurité (toujours)\n- Cette skill aide à écrire le code d’intégration du développeur ; elle n’envoie rien elle-même. N’appelez l’API Tchin et ne transmettez des données d’un client (nom, e-mail, téléphone, pièce d’identité, photo) que si l’utilisateur le demande explicitement ; pendant le développement, utilisez le mode test et des valeurs d’exemple.\n- Les clés (`tchin_pk_…`, `tchin_sk_…`) restent sur le SERVEUR : variables d'environnement, jamais dans le code du navigateur, d'une application mobile ni d'un dépôt Git.\n- La page ou l'application ne reçoit qu'un `token` ; elle ouvre la feuille Tchin avec ce token.\n- Ne faites jamais confiance au retour de la page : vérifiez la signature du webhook (HMAC-SHA256 avec la clé secrète, 10 minutes au plus) ou demandez l'état côté serveur.\n- Traitez chaque webhook de façon idempotente (une même `reference` peut arriver deux fois).\n- Montants en francs CFA (XOF), entiers, sans décimales.\n- Testez avec `\"env\": \"test\"` (aucun argent réel), puis passez à `\"env\": \"live\"`.\n"
}