Pagos QR con checkout api

{
  "name": "Pago Terminal #1 - Mesa 4",
  "type": "PaymentLink",
  "recurrent": false,
  "expires_at": 1750383000,
  "allowed_payment_methods": ["card", "bank_transfer", "cash"],
  "order_template": {
    "currency": "MXN",
    "line_items": [
      {
        "name": "Café Americano",
        "unit_price": 8000,
        "quantity": 2
      },
      {
        "name": "Agua mineral",
        "unit_price": 3500,
        "quantity": 1
      }
    ],
    "customer_info": {
      "name": "Cliente en tienda",
      "email": "[email protected]",
      "phone": "+525512345678"
    }
  }
}

{
  "id": "checkout_2tXx9jDpCqIrjVKZ",
  "object": "checkout",
  "name": "Pago Terminal #1 - Mesa 4",
  "slug": "a1b2c3d4e5f6",
  "url": "https://pay.conekta.com/link/a1b2c3d4e5f6",
  "type": "PaymentLink",
  "status": "Issued",
  "livemode": false,
  "recurrent": false,
  "expires_at": 1750383000,
  "allowed_payment_methods": ["card", "bank_transfer", "cash"],
  "monthly_installments_enabled": false,
  "needs_shipping_contact": false
}

npm install qrcode

const QRCode = require('qrcode');

async function generarQRPago(checkoutUrl) {
  // Devuelve un data URI — incrústalo directamente en un <img> o canvas
  const qrDataUrl = await QRCode.toDataURL(checkoutUrl, {
    width: 400,
    margin: 2,
    color: {
      dark: '#1A1A2E',
      light: '#FFFFFF'
    }
  });
  return qrDataUrl;
}

pip install qrcode[pil]

import qrcode
from io import BytesIO
import base64

def generar_qr_pago(checkout_url: str) -> str:
    qr = qrcode.QRCode(version=1, box_size=10, border=2)
    qr.add_data(checkout_url)
    qr.make(fit=True)
    img = qr.make_image(fill_color="#1A1A2E", back_color="white")

    buffer = BytesIO()
    img.save(buffer, format="PNG")
    return base64.b64encode(buffer.getvalue()).decode()

{
  "id": "evt_2tXx9jDpCqIrjABC",
  "object": "event",
  "type": "order.paid",
  "livemode": false,
  "created_at": 1750382100,
  "data": {
    "object": {
      "id": "ord_2tXx9jDpCqIrjMNO",
      "object": "order",
      "status": "paid",
      "amount": 19500,
      "currency": "MXN",
      "livemode": false,
      "created_at": 1750382080,
      "customer_info": {
        "name": "Cliente en tienda",
        "email": "[email protected]"
      },
      "line_items": {
        "object": "list",
        "data": [
          { "name": "Café Americano", "unit_price": 8000, "quantity": 2 },
          { "name": "Agua mineral", "unit_price": 3500, "quantity": 1 }
        ]
      },
      "charges": {
        "object": "list",
        "data": [
          {
            "id": "ch_2tXx9jDpCqIrjXYZ",
            "status": "paid",
            "amount": 19500,
            "payment_method": {
              "type": "card",
              "object": "card_payment",
              "service_name": "Visa"
            }
          }
        ]
      }
    },
    "previous_attributes": {}
  },
  "webhook_status": "successful"
}

const NodeRSA = require('node-rsa');

// Inicializa una sola vez al arrancar con la llave pública de tu compañía
// Obtenla desde Conekta: GET /webhooks/keys (ver doc:autenticación-webhooks)
const llavePublica = new NodeRSA(process.env.CONEKTA_WEBHOOK_PUBLIC_KEY);

function verificarFirmaWebhook(cuerpoRaw, headerDigest) {
  try {
    return llavePublica.verify(cuerpoRaw, headerDigest, 'utf8', 'base64');
  } catch {
    return false;
  }
}

// Handler Express
app.post('/webhooks/conekta', express.raw({ type: 'application/json' }), (req, res) => {
  const digest = req.headers['digest'];

  if (!verificarFirmaWebhook(req.body, digest)) {
    return res.status(401).send('Firma inválida');
  }

  const evento = JSON.parse(req.body);

  if (evento.type === 'order.paid') {
    const orden = evento.data.object;
    // Usa una llave de idempotencia para no procesar el mismo evento dos veces
    procesarPago(evento.id, orden.id, orden.amount);
  }

  res.status(200).send('OK');
});

async function renovarSiExpirado(checkout) {
  const ahoraUnix = Math.floor(Date.now() / 1000);

  if (checkout.expires_at < ahoraUnix + 60) {
    // Menos de 60 segundos restantes — regenera de forma proactiva
    return await crearNuevoCheckout(checkout.datosOrden);
  }
  return checkout;
}

const express = require('express');
const QRCode = require('qrcode');
const NodeRSA = require('node-rsa');

const app = express();
const CONEKTA_PRIVATE_KEY = process.env.CONEKTA_PRIVATE_KEY;
const CONEKTA_API_URL = 'https://api.conekta.io';

// --- Crear checkout y devolver el QR como data URI ---
async function crearQRPago(datosOrden) {
  const expiresAt = Math.floor(Date.now() / 1000) + (20 * 60); // 20 minutos

  const respuesta = await fetch(`${CONEKTA_API_URL}/checkouts`, {
    method: 'POST',
    headers: {
      'Authorization': `Bearer ${CONEKTA_PRIVATE_KEY}`,
      'Accept': 'application/vnd.conekta-v2.2.0+json',
      'Content-Type': 'application/json'
    },
    body: JSON.stringify({
      name: `Terminal-01 Orden ${datosOrden.ordenId}`,
      type: 'PaymentLink',
      recurrent: false,
      expires_at: expiresAt,
      allowed_payment_methods: ['card', 'bank_transfer', 'cash'],
      order_template: {
        currency: 'MXN',
        line_items: datosOrden.articulos.map(item => ({
          name: item.nombre,
          unit_price: item.precioEnCentavos,
          quantity: item.cantidad
        }))
      }
    })
  });

  if (!respuesta.ok) {
    const error = await respuesta.json();
    throw new Error(`Fallo al crear checkout: ${JSON.stringify(error)}`);
  }

  const checkout = await respuesta.json();

  // Guarda el mapeo para correlacionar el webhook con esta transacción
  await db.guardarCheckout({
    checkoutId: checkout.id,
    ordenId: datosOrden.ordenId,
    expiresAt: checkout.expires_at,
    montoEsperado: datosOrden.totalEnCentavos
  });

  // Genera el QR a partir de la URL de pago
  const qrDataUri = await QRCode.toDataURL(checkout.url, { width: 400 });

  return {
    checkoutId: checkout.id,
    qrDataUri,
    expiresAt: checkout.expires_at,
    urlPago: checkout.url
  };
}

// --- Endpoint de webhook ---
const llavePublicaWebhook = new NodeRSA(process.env.CONEKTA_WEBHOOK_PUBLIC_KEY);
const eventosYaProcesados = new Set(); // En producción, usar Redis o base de datos

app.post('/webhooks/conekta', express.raw({ type: 'application/json' }), async (req, res) => {
  // 1. Verifica la firma
  const digest = req.headers['digest'];
  const esValido = llavePublicaWebhook.verify(req.body, digest, 'utf8', 'base64');

  if (!esValido) {
    return res.status(401).send('Firma inválida');
  }

  const evento = JSON.parse(req.body);

  // 2. Idempotencia — Conekta reintenta si no recibe 2xx
  if (eventosYaProcesados.has(evento.id)) {
    return res.status(200).send('Ya procesado');
  }
  eventosYaProcesados.add(evento.id);

  // 3. Procesa el evento
  if (evento.type === 'order.paid') {
    const orden = evento.data.object;

    // 4. Verifica el monto en el servidor — nunca confíes en montos del cliente
    const stored = await db.getCheckoutPorOrden(orden.id);
    if (stored && stored.montoEsperado !== orden.amount) {
      console.error(`Discrepancia de monto en orden ${orden.id}`);
      return res.status(200).send('OK'); // Devuelve 200 — registra e investiga
    }

    // 5. Notifica a tu terminal (WebSocket, SSE o endpoint de polling)
    await notificarTerminal(orden.id, 'pagado');
  }

  res.status(200).send('OK');
});

// --- Endpoint de polling para la terminal (si no usas WebSockets) ---
app.get('/terminal/estado-orden/:ordenId', async (req, res) => {
  const estado = await db.getEstadoOrden(req.params.ordenId);
  res.json({ estado });
});

app.listen(3000);