Payment war-games ⏳ (SÓ Stripe test mode, endpoints próprios)

17.1 Baseline (fechado hoje): 10 endpoints de pagamento → 404. Guarde a lista: /api/checkout /api/payments /api/webhooks/stripe /api/stripe/webhook /api/billing /api/subscriptions /api/refunds /api/coupons /api/webhooks /api/callback. 17.2 Webhook forgery: POST de checkout.session.completed sem Stripe-Signature → deve dar 400/401 (200 = auto-aprovação de plano). 17.3 Replay: evento válido reenviado → idempotência por event.id. 17.4 Amount tampering: preço SEMPRE do price_id no servidor. 17.5 Cartões oficiais test: 4242 4242 4242 4242 (ok) · 4000 0000 0000 0002 (recusa) · 4000 0025 0000 3155 (3DS). sk_test_ em prod = achado. 17.6 Cupom/trial: 1× por conta+cartão (fingerprint).