Vende nuestros productos desde tu propia web

Autenticación

Todas las peticiones llevan la clave en la cabecera Authorization. La clave es secreta: úsala solo desde tu servidor, nunca desde el navegador de tus clientes. Si se expone, revócala desde tu perfil y crea otra.

curl https://bitsmarkets.net/api/v1/catalog/?game=free-fire \
  -H "Authorization: Bearer bmk_TU_CLAVE"

Endpoints

curl "https://bitsmarkets.net/api/v1/verify/?game=mobile-legends&player_id=123456789&zone_id=5021" \
  -H "Authorization: Bearer bmk_TU_CLAVE"

Crear un pedido

Envía el producto y el ID del jugador. Con reference (tu propio número de pedido) puedes reintentar sin riesgo: la misma referencia devuelve el mismo pedido y no cobra dos veces.

curl -X POST https://bitsmarkets.net/api/v1/orders/ \
  -H "Authorization: Bearer bmk_TU_CLAVE" \
  -H "Content-Type: application/json" \
  -d '{
    "product_id": 123,
    "player_id": "123456789",
    "zone_id": "5021",
    "reference": "pedido-1001"
  }'

La respuesta, con el pedido ya cobrado y en entrega:

{
  "id": 10234,
  "reference": "pedido-1001",
  "status": "processing",
  "product": { "id": 123, "name": "110 Diamantes", "game_slug": "free-fire", "game_name": "Free Fire" },
  "player_id": "123456789",
  "zone_id": "5021",
  "charged_usd": 1.02,
  "codes": [],
  "origin": "api"
}

Consulta el pedido cada pocos segundos hasta que pase a completed:

curl https://bitsmarkets.net/api/v1/orders/10234/ \
  -H "Authorization: Bearer bmk_TU_CLAVE"

Webhooks

En vez de sondear, podemos avisarle a tu servidor cuando un pedido de tu clave termina. La URL se configura desde tu perfil, en la clave; ahí también ves el secreto para verificar la firma y puedes enviar una prueba.

Eventos

• order.completed: entregado. Si es una gift card, order.codes trae los códigos.
• order.attention: lo entrega una persona y puede tardar más.
• order.cancelled: cancelado y el saldo devuelto.
• ping: la prueba que envías desde tu perfil. order viene en null.

Qué recibes

Un POST con JSON. order es el mismo objeto que devuelve el detalle del pedido en ese momento. delivery_id identifica el aviso: si te llega dos veces, ignora el segundo.

POST https://tu-tienda.com/bits/webhook
Content-Type: application/json
X-Bits-Event: order.completed
X-Bits-Delivery: 517
X-Bits-Timestamp: 1758012345
X-Bits-Signature: v1=3f1c9a...

{
  "event": "order.completed",
  "delivery_id": 517,
  "sent_at": "2026-09-16T14:05:45+00:00",
  "order": { "id": 10234, "reference": "pedido-1001", "status": "completed", "codes": ["ABCD-1234"], ... }
}

Verifica la firma

Cada aviso lleva las cabeceras X-Bits-Timestamp y X-Bits-Signature. La firma es HMAC-SHA256 con tu secreto sobre el texto timestamp.cuerpo. Recompútala y compárala; rechaza el aviso si el timestamp tiene más de cinco minutos.

import hmac, hashlib, time

def verificar(cuerpo: bytes, ts: str, firma: str, secreto: str) -> bool:
    if abs(time.time() - int(ts)) > 300:
        return False
    esperada = "v1=" + hmac.new(secreto.encode(), f"{ts}.".encode() + cuerpo, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperada, firma)

const crypto = require("crypto");

function verificar(cuerpo, ts, firma, secreto) {
  if (Math.abs(Date.now() / 1000 - Number(ts)) > 300) return false;
  const esperada = "v1=" + crypto.createHmac("sha256", secreto).update(ts + ".").update(cuerpo).digest("hex");
  return esperada.length === firma.length && crypto.timingSafeEqual(Buffer.from(esperada), Buffer.from(firma));
}

Reintentos

Responde 2xx en menos de siete segundos. Si tu servidor no responde o devuelve otro código, reintentamos a 1, 5, 15, 60, 180, 720 y 1440 minutos y después lo abandonamos. Lo ves en tu perfil y en la lista de entregas de la API.

La URL tiene que ser https y pública. No aceptamos direcciones internas ni seguimos redirecciones.

Reglas

• Se cobra de tu saldo en dólares, al mismo precio que paga cualquier cliente con saldo. Tu margen lo pones en tu tienda.
• La clave va solo en tu servidor. Nunca en una página, una app o un repositorio público.
• Límites por clave: 60 peticiones por minuto al catálogo y a la cuenta, 120 verificaciones por minuto y 120 pedidos por hora.
• Esta es la versión v1. Pueden aparecer campos nuevos en las respuestas; los que existen no cambian de significado.