Documentação para integrar com AQpay.

curl -X POST https://sandbox.apirest.aqhub.com.br/v1/auth/token \
  --cert ./client.crt --key ./client.key \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=aqp_xxxxxxxxxxxx" \
  -d "client_secret=sk_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

import fetch from "node-fetch";
import https from "node:https";
import fs from "node:fs";

const BASE = "https://sandbox.apirest.aqhub.com.br";

// mTLS é obrigatório em todas as chamadas
const agent = new https.Agent({
  cert: fs.readFileSync(process.env.AQHUB_CLIENT_CERT!), // client.crt
  key:  fs.readFileSync(process.env.AQHUB_CLIENT_KEY!),  // client.key
});

async function getToken() {
  const res = await fetch(`${BASE}/v1/auth/token`, {
    method: "POST",
    agent,
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: new URLSearchParams({
      grant_type: "client_credentials",
      client_id: process.env.AQHUB_CLIENT_ID!,
      client_secret: process.env.AQHUB_CLIENT_SECRET!,
    }),
  });
  if (!res.ok) throw new Error(`auth failed: ${res.status}`);
  const { access_token, expires_in } = await res.json();
  return { access_token, expires_in };
}

const { access_token } = await getToken();
const balance = await fetch(`${BASE}/v1/accounts/balance`, {
  agent,
  headers: { Authorization: `Bearer ${access_token}` },
}).then((r) => r.json());

console.log(balance);

import os, requests

BASE = "https://sandbox.apirest.aqhub.com.br"
# mTLS é obrigatório em todas as chamadas
CERT = (os.environ["AQHUB_CLIENT_CERT"], os.environ["AQHUB_CLIENT_KEY"])

def get_token():
    r = requests.post(f"{BASE}/v1/auth/token", cert=CERT, data={
        "grant_type": "client_credentials",
        "client_id": os.environ["AQHUB_CLIENT_ID"],
        "client_secret": os.environ["AQHUB_CLIENT_SECRET"],
    })
    r.raise_for_status()
    return r.json()["access_token"]

token = get_token()
balance = requests.get(
    f"{BASE}/v1/accounts/balance",
    cert=CERT,
    headers={"Authorization": f"Bearer {token}"}
).json()

print(balance)

import crypto from "node:crypto";

export function verifyAqhubSignature(req: Request, secret: string) {
  const signature = req.headers.get("x-aqbank-signature") ?? "";
  const timestamp = req.headers.get("x-aqbank-timestamp") ?? "";
  const body = req.body ?? "";

  const expected =
    "sha256=" +
    crypto
      .createHmac("sha256", secret)
      .update(`${timestamp}.${body}`)
      .digest("hex");

  return crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
}

Você é um engenheiro integrando a AQhub API REST.

Documentação base: https://docs.aqhub.com.br
Ambiente sandbox:  https://sandbox.apirest.aqhub.com.br
Ambiente produção: https://apirest.aqhub.com.br

Regras obrigatórias:
1. mTLS é OBRIGATÓRIO em TODAS as chamadas. Sempre envie o par client.crt + client.key (curl --cert/--key, https.Agent no Node, requests cert= no Python). Sem certificado válido cadastrado no portal, a API responde 401 mtls_required.
2. Autentique via OAuth2 Client Credentials em POST /v1/auth/token com client_id e client_secret.
3. O access_token retornado é JWT HS256, válido por 900 segundos (15 min). Renove antes do vencimento.
4. Envie sempre o header "Authorization: Bearer <access_token>".
5. O IP de origem precisa estar na whitelist da aplicação (cadastrada no portal Desenvolvedor).
6. Em endpoints financeiros (transferências, pix-out, pagamento) envie "X-Idempotency-Key" único por operação.
7. Nunca exponha client_secret nem client.key em frontend, mobile ou repositórios públicos.
8. Trate 401 como token expirado/inválido ou certificado mTLS inválido — refaça /auth/token (não há refresh token).
9. Trate 429 com backoff exponencial respeitando o header Retry-After.

Gere o código de integração na linguagem que eu pedir, seguindo essas regras.