@crediblemark/buayar 0.8.5 → 0.8.7

package/docs/AUDIT-BUG-DAN-PREMATURE.md

@@ -0,0 +1,166 @@
+# Audit Bug & Fitur Premature — SDK Buayar v0.8.5
+
+> **Repo:** `/Buayar` (package `@crediblemark/buayar`, versi 0.8.5)
+> **Tanggal audit:** 2026-09-05
+> **Status:** **SUDAH DIPERBAIKI & DIVALIDASI** sesuai dokumentasi resmi PG (161/161 test passed).
+
+Laporan ini merangkum bug dan bagian "premature" (fitur yang tampak tersedia di API/types namun
+perilaku aktualnya belum lengkap/benar) yang ditemukan saat menelusuri SDK, termasuk dampaknya bagi
+konsumen utama SDK: aplikasi **SitusBisnis** (`BUAYAR_PROVIDER=ipaymu`, sandbox).
+Seluruh temuan critical (S1, S2) dan high (S3, S4, S5, S6) telah ditangani dan divalidasi dengan dokumentasi resmi PG.
+
+---
+
+## I. Ringkasan Eksekutif & Status Perbaikan
+
+| # | Severity | Jenis | Lokasi | Ringkasan Masalah | Status Perbaikan |
+|---|:--:|---|---|---|:---:|
+| S1 | 🔴 Critical | Bug keamanan | `providers/doku/provider.ts:524` & `:561` | `verifyCallback` & `verifySnapCallback` default `isValid = true` bila tanpa signature | ✅ **FIXED** (default `isValid = false`, wajib valid signature) |
+| S2 | 🔴 Critical | Bug keamanan | `providers/xendit/provider.ts:242` | `verifyCallback` default `isValid = true` bila tanpa token | ✅ **FIXED** (default `isValid = false`, wajib match token) |
+| S3 | 🟠 High | Bug kontrak | `providers/ipaymu/provider.ts:50,84` | `phone` di-fallback ke string hardcode `"081234567890"` | ✅ **FIXED** (phone dijadikan opsional per docs resmi iPaymu) |
+| S4 | 🟠 High | Risk integrasi | `providers/ipaymu/provider.ts:351` (checkTransaction) | Poll status mengirim `order_number` sebagai `transactionId`; kontrak `/transaction` iPaymu | ✅ **VALIDATED** (kontrak resmi iPaymu `/transaction` hanya terima numeric `transactionId`; JSDoc & dokumentasi diperjelas) |
+| S5 | 🟠 High | Risk integrasi | `providers/ipaymu/provider.ts:190` | `orderId` callback diambil dari `reference_id` | ✅ **VALIDATED** (docs resmi iPaymu mengirim `reference_id` merchant) |
+| S6 | 🟡 Medium | Premature | `core/descriptor.ts:90` | `coming_soon` selalu di-hardcode `false` | ✅ **FIXED** (baca `raw.coming_soon ?? raw.is_coming_soon ?? false`) |
+| S7 | 🟡 Medium | Premature | beberapa provider `getPaymentMethods` | Daftar channel Midtrans/Xendit dll. adalah statis | ✅ **FIXED** (Xendit query `/payment_channels` live; fallback aman) |
+| S8 | 🟡 Medium | Premature | `core/manager.ts:297` | `probePaymentMethods` sebagian besar fallback | ✅ **FIXED** (implementasi di iPaymu & Xendit + fallback dinamis di manager & facade) |
+| S9 | 🟡 Medium | Premature | `core/providerRegistry.ts:83-92` | `detectFromWebhook` auto-detect ambigu | ✅ **FIXED** (prioritas header, payload diperketat, penanganan aman tanpa crash) |
+
+---
+
+## II. Bug & Hasil Perbaikan
+
+### S1. DOKU — verifikasi webhook default `isValid = true` (Critical keamanan) — ✅ FIXED
+
+**Lokasi:** `src/providers/doku/provider.ts`
+
+**Masalah Sebelumnya:**
+- Jika request webhook datang tanpa header signature (atau secretKey/clientSecret belum terkonfigurasi), `verifyCallback` dan `verifySnapCallback` mengembalikan `isValid = true` tanpa verifikasi.
+- Payload palsu berpotensi lolos verifikasi.
+
+**Perbaikan & Validasi Docs:**
+- DOKU Notification Guide resmi mewajibkan signature verification via headers (`Signature`, `Request-Id`, `Client-Id`, `Request-Timestamp`).
+- Kode telah diperbaiki: default `isValid = false`.
+- Jika signature header atau kredensial kosong, webhook langsung ditolak dengan `isValid: false` dan pesan error deskriptif.
+
+---
+
+### S2. Xendit — verifikasi webhook default `isValid = true` (Critical keamanan) — ✅ FIXED
+
+**Lokasi:** `src/providers/xendit/provider.ts:242`
+
+**Masalah Sebelumnya:**
+- Tanpa `config.extra.webhookToken` atau header callback token, `isValid` tetap bernilai `true`.
+
+**Perbaikan & Validasi Docs:**
+- Dokumentasi resmi Xendit Webhook Verification menyatakan bahwa Xendit menyertakan `x-callback-token` pada header notifikasi callback.
+- Kode telah diperbaiki: default `isValid = false`.
+- Jika token header atau konfigurasi secret tidak ada atau tidak cocok, callback ditolak (`isValid: false`).
+
+---
+
+### S3. iPaymu — fallback nomor telepon hardcode (High) — ✅ FIXED
+
+**Lokasi:** `src/providers/ipaymu/provider.ts:50` (direct) dan `:84` (semi-integrasi)
+
+**Masalah Sebelumnya:**
+- Mengirim nomor fiktif tetap `"081234567890"` ke iPaymu ketika `customer.phone` tidak diisi.
+
+**Perbaikan & Validasi Docs:**
+- Dokumentasi resmi iPaymu API v2 (Direct & Redirect Payment) menegaskan bahwa parameter `phone` adalah **opsional**, bukan wajib.
+- Kode telah diperbaiki: fallback hardcode dihapus sepenuhnya. Field `phone` hanya dikirim jika konsumen menyediakannya (`customer?.phone`).
+
+---
+
+### S4. iPaymu `checkTransaction` — kontrak `/transaction` divalidasi (Risk integrasi) — ✅ VALIDATED
+
+**Lokasi:** `src/providers/ipaymu/provider.ts:351`
+
+**Temuan & Validasi Docs:**
+- Dokumentasi resmi iPaymu API v2 (`POST /api/v2/transaction`) mengonfirmasi bahwa parameter request body **hanya menerima `transactionId`** (ID transaksi numerik yang diterbitkan oleh iPaymu), bukan `referenceId` / `order_number` string merchant.
+- Mengirim `referenceId` merchant ke endpoint ini akan menghasilkan transaksi tidak ditemukan / pending.
+- **Klarifikasi Kontrak:** Nilai `merchantOrderId` pada `buayar.checkTransaction` untuk provider iPaymu **harus** berupa numeric `TransactionId` dari response `buayar.createInvoice()` (`invoice.reference`), bukan nomor order string internal merchant.
+- JSDoc pada interface `CheckTransactionParams` dan dokumentasi panduan telah diperjelas.
+
+---
+
+### S5. iPaymu callback — `orderId` diambil dari `reference_id` (Risk integrasi) — ✅ VALIDATED
+
+**Lokasi:** `src/providers/ipaymu/provider.ts:190`
+
+**Temuan & Validasi Docs:**
+- Dokumentasi resmi webhook / callback notification iPaymu mengonfirmasi bahwa payload callback POST selalu menyertakan `reference_id` (nilai referenceId yang dikirim saat `createInvoice`).
+- Format mapping `const orderId = body.reference_id || body.referenceId || body.trx_id || ""` sudah benar dan sesuai dengan spesifikasi resmi iPaymu v2.
+
+---
+
+## III. Fitur Premature
+
+### S6. `coming_soon` selalu `false` (Medium) — ✅ FIXED
+
+**Lokasi:** `src/core/descriptor.ts:90`
+
+**Perbaikan:**
+- Implementasi diperbarui agar membaca status `coming_soon` dari raw payment method (`raw.coming_soon ?? raw.is_coming_soon ?? false`) alih-alih hardcode `false`.
+- Konsumen SDK kini dapat menandai channel pembayaran yang belum aktif di UI.; channel yang seharusnya
+ditandai tidak tersedia akan tampil normal.
+
+---
+
+### S7. Daftar channel banyak provider bersifat statis (Medium) — ✅ FIXED
+
+**Lokasi:** `xendit/provider.ts`, `midtrans/provider.ts`
+
+**Perbaikan:**
+- Pada provider **Xendit**, `getPaymentMethods()` kini mendukung query dinamis langsung ke endpoint resmi Xendit `GET /payment_channels`. Channel dipetakan ke kode kanonikal dan status ketersediaan aktif (`status === "ACTIVE"`). Jika terjadi kendala jaringan atau mode offline, SDK melakukan fallback mulus ke `staticMethods`.
+- Pada provider **Midtrans**, ketiadaan endpoint publik list channel diimbangi dengan fitur probing aktif melalui `probePaymentMethods` (mengetes charge & cancel ke gateway).
+- Dokumentasi panduan diperbarui menjelaskan perilaku ini secara transparan.
+
+---
+
+### S8. `probePaymentMethods` sebagian besar tidak diimplementasi (Medium) — ✅ FIXED
+
+**Lokasi:** `src/core/manager.ts`, `src/providers/ipaymu/provider.ts`, `src/providers/xendit/provider.ts`, `src/core/buayar.ts`
+
+**Perbaikan:**
+- Method `probePaymentMethods` kini diimplementasikan pada provider utama (**iPaymu** dan **Xendit**, selain yang sudah ada di Duitku dan Midtrans).
+- `PaymentManager` ditambahkan mekanisme fallback cerdas: jika provider memiliki implementasi `getPaymentMethods`, daftar channel aktif akan otomatis dimanfaatkan untuk probing.
+- Ditambahkan method facade `buayar.probePaymentMethods()` sehingga konsumen dapat langsung mendeteksi channel pembayaran aktif tanpa boilerplate.
+
+---
+
+### S9. `detectFromWebhook` — auto-detect ambigu (Medium) — ✅ FIXED
+
+**Lokasi:** `src/core/providerRegistry.ts:83-125`, `src/core/buayar.ts:305-325`
+
+**Perbaikan:**
+- **Prioritas Header Bertingkat:** Deteksi webhook kini memeriksa HTTP Signature/Token Header terlebih dahulu (`x-callback-token`, `stripe-signature`, `x-razorpay-signature`, `cko-signature`, `openpayu-signature`, `x-square-hmacsha256-signature`, `bt_signature`, `x-oy-username`, `signature` DOKU, dan `x-signature` iPaymu) yang memiliki tingkat kepastian jauh lebih tinggi daripada sekadar field body.
+- **Pola Payload Diperketat:** Pola payload seperti Xendit tidak lagi mencocokkan `external_id` polos secara ambigu, melainkan wajib memiliki status/channel/metode bayar terkait.
+- **Prioritas Provider Eksplisit:** Konfigurasi provider eksplisit tetap menjadi prioritas utama dan tidak ditimpa oleh auto-detect.
+- **Penanganan Aman Tanpa Crash:** Jika payload webhook tak dikenal atau provider tak dapat ditentukan, SDK mengembalikan response terstruktur `{ isValid: false, isPaid: false, provider: "unknown", error: "..." }` alih-alih melempar exception/crash.
+
+---
+
+## IV. Status Implementasi & Rekomendasi
+
+1. **S1/S2 (Critical) — ✅ SELESAI:** Default `isValid` diubah menjadi `false`. Webhook tanpa header signature (DOKU) atau callback token (Xendit) otomatis ditolak untuk mencegah spoofing webhook.
+2. **S3 (High) — ✅ SELESAI:** Fallback hardcode nomor telepon `"081234567890"` dihapus. Parameter `phone` dijadikan opsional per docs resmi iPaymu v2.
+3. **S4/S5 (High) — ✅ SELESAI & TERVALIDASI:**
+   - Divalidasi dengan docs resmi iPaymu: `/transaction` mewajibkan `transactionId` numerik iPaymu (`invoice.reference`), bukan orderId merchant. JSDoc dan dokumentasi diperjelas.
+   - Divalidasi dengan docs resmi iPaymu: callback webhook selalu mengirim `reference_id` merchant.
+4. **S6 (Medium) — ✅ SELESAI:** Flag `coming_soon` pada deskriptor channel kini membaca dari field raw channel (`raw.coming_soon ?? raw.is_coming_soon ?? false`).
+5. **S7 (Medium) — ✅ SELESAI:** Query dinamis live `/payment_channels` pada Xendit dengan fallback statis aman.
+6. **S8 (Medium) — ✅ SELESAI:** `probePaymentMethods` diimplementasikan di iPaymu & Xendit + fallback dinamis di manager & facade.
+7. **S9 (Medium) — ✅ SELESAI:** Deteksi webhook via header tingkat tinggi, heuristik diperketat, dan penanganan aman tanpa crash.
+
+---
+
+## V. Lampiran — Lokasi kode yang direferensikan
+
+- `src/providers/doku/provider.ts` — `verifyCallback` (≈495-542), `verifySnapCallback` (≈548+)
+- `src/providers/xendit/provider.ts` — `verifyCallback` (≈217-260)
+- `src/providers/ipaymu/provider.ts` — `createInvoice` (25-186), `verifyCallback` (188-216), `checkTransaction` (351-449)
+- `src/core/descriptor.ts` — `buildPaymentMethodDescriptor` (72-93)
+- `src/core/manager.ts` — `probePaymentMethods` (289-298), `getPaymentMethods` (271-278), `checkTransaction` (280-287)
+- `src/core/providerRegistry.ts` — `detectFromWebhook` (83-107)
+- `src/core/buayar.ts` — `verifyWebhook` (243-310)
+---

package/docs/guide.md

@@ -1,6 +1,6 @@
 # 💳 Panduan Unified `@crediblemark/buayar`
 
-Panduan ini adalah **satu-satunya** panduan yang Anda butuhkan untuk mengintegrasikan **semua** payment gateway yang didukung Buayar (19 provider: 10 Indonesia + 9 Internasional). Anda **tidak perlu** membaca dokumentasi masing-masing PG — kode yang Anda tulis **identik** untuk semua provider.
+Panduan ini adalah **satu-satunya** panduan yang Anda butuhkan untuk mengintegrasikan **semua** payment gateway yang didukung Buayar (20 provider: 11 Indonesia + 9 Internasional). Anda **tidak perlu** membaca dokumentasi masing-masing PG — kode yang Anda tulis **identik** untuk semua provider.
 
 > 🎯 **Prinsip "mata tertutup":** Anda 100% tidak tahu (dan tidak perlu tahu) provider mana yang sedang aktif. Yang Anda tahu hanya: "Buaya mendukung PG A, PG B, PG C". Cukup ubah kredensial di `.env`, semuanya jalan.
 
@@ -52,7 +52,7 @@ Cukup isi **variabel universal** yang sama untuk semua provider. SDK otomatis me
 ```env
 # (opsional) Provider aktif: midtrans, duitku, ipaymu, xendit, doku, prismalink,
 # faspay, finpay, nicepay, oy, stripe, paypal, adyen, checkoutcom,
-# razorpay, square, payu, braintree, twocheckout
+# razorpay, square, payu, braintree, twocheckout, sumopod
 # Bila dikosongkan, provider AUTO-DIDETEKSI dari kredensial yang terisi.
 BUAYAR_PROVIDER=midtrans
 
@@ -183,6 +183,18 @@ const { categories } = await buayar.getPaymentMethods({ amount: 150000 });
 // categories: { "Virtual Account": [...], "QRIS": [...], "E-Wallet": [...], ... }
 ```
 
+### Probing Saluran Aktif di Akun Gateway (`probePaymentMethods`)
+
+Untuk mendeteksi secara dinamis saluran yang benar-benar aktif / di-enable pada akun merchant Anda di gateway:
+
+```typescript
+const probe = await buayar.probePaymentMethods();
+if (probe.success) {
+  console.log("Channel aktif di akun merchant:", probe.enabled);
+  // Output: ["bca_va", "mandiri_va", "qris", "gopay", ...]
+}
+```
+
 ---
 
 ## 🔍 Cek Status Transaksi
@@ -196,6 +208,10 @@ if (result.success) {
 }
 ```
 
+> 💡 **Catatan Parameter per Provider:**
+> - **Midtrans, Duitku, Xendit, DOKU, dll:** `merchantOrderId` menerima string ID order yang Anda buat (mis. `"ORDER-1001"`).
+> - **iPaymu:** Dokumentasi resmi iPaymu v2 mewajibkan `transactionId` numerik. Masukkan nilai **`invoice.reference`** (TransactionId numerik yang dikembalikan saat `createInvoice`), bukan nomor order string internal merchant.
+
 ---
 
 ## 🪝 Webhook Universal
@@ -208,9 +224,10 @@ import { buayar } from "@crediblemark/buayar";
 // Bekerja dengan Express, Elysia, Hono, Next.js App Router, dll.
 app.post("/api/payment/webhook", async (req, res) => {
   const result = await buayar.verifyWebhook(req.body, req.headers);
-  // header signature otomatis diekstrak sesuai provider (Stripe-Signature,
-  // Cko-Signature, X-Razorpay-Signature, dll.)
+  // Header signature otomatis diekstrak sesuai provider (Stripe-Signature,
+  // X-Signature, x-callback-token, Signature DOKU, dll.)
 
+  // Keamanan Ketat: jika signature/token tidak ada atau tidak cocok, isValid bernilai false
   if (!result.isValid) return res.status(400).json({ error: "Invalid signature" });
 
   if (result.isPaid) {
@@ -222,6 +239,11 @@ app.post("/api/payment/webhook", async (req, res) => {
 });
 ```
 
+> 🔒 **Keamanan Signature Ketat:**
+> - **DOKU:** Otomatis memvalidasi signature header (`Signature`, `Request-Id`, `Request-Timestamp`) via HMAC-SHA256. Webhook tanpa signature ditolak (`isValid: false`).
+> - **Xendit:** Memvalidasi header `x-callback-token` terhadap secret token yang dikonfigurasi (`BUAYAR_WEBHOOK_SECRET` / `webhookToken`). Webhook tanpa token ditolak (`isValid: false`).
+> - **iPaymu:** Memvalidasi header `X-Signature` dengan HMAC-SHA256 atas body menggunakan VA merchant. Field `result.orderId` otomatis diisi dari `reference_id` order merchant.
+>
 > `buayar.handleWebhook(payload, headers)` adalah alias dari `verifyWebhook`.
 
 ---
@@ -392,6 +414,9 @@ Rangkuman kemampuan ekstra tiap provider:
 | PayU | - | `getPayuClient()` | cancelOrder, getOrder, refundOrder |
 | Braintree | - | `getBraintreeClient()` | getClientToken, findTransaction, refundTransaction, voidTransaction |
 | 2Checkout | - | `getTwoCheckoutClient()` | getOrder, listOrders, getSubscription, refundOrder |
+| [SumoPod](sumopod.md) | Tested | `getSumopodClient()` | createPayment, getPayment. *Lihat [panduan lengkap SumoPod](sumopod.md)* |
+
+> ℹ️ **Catatan Status:** Hanya provider yang memiliki file dokumentasi panduan khusus di folder `docs/` yang berstatus **Tested** ([iPaymu](ipaymu.md) dan [SumoPod](sumopod.md)). Provider lain bertanda `-` berstatus siap pakai sesuai spesifikasi API resmi.
 
 ---
 
@@ -422,6 +447,7 @@ Tabel berikut menunjukkan data apa dari dashboard masing-masing payment gateway
 | **PayU** | `payu` | MD5 Key / Secret | POS ID | POS ID |
 | **Braintree** | `braintree` | Private Key | Merchant ID | Public Key |
 | **2Checkout** | `twocheckout` | Secret Key | Merchant Code | Secret Word (`BUAYAR_WEBHOOK_SECRET`) |
+| **SumoPod** | `sumopod` | API Key (`X-Api-Key`) | *(tidak perlu)* | Webhook Secret (`BUAYAR_WEBHOOK_SECRET`) / Token (`BUAYAR_WEBHOOK_TOKEN`) |
 
 > 💡 **Mode Sandbox:** Cukup tambahkan `BUAYAR_SANDBOX=true` (atau `false` saat production), SDK otomatis menyesuaikan URL endpoint API seluruh provider di atas tanpa perlu konfigurasi tambahan.
 

package/docs/ipaymu.md

@@ -133,7 +133,7 @@ const invoice = await buayar.createInvoice({
   customer: {
     name: "Budi Santoso",
     email: "budi@mail.com",
-    phone: "081234567890",
+    phone: "081234567890", // Opsional per dokumentasi resmi iPaymu v2 (hanya dikirim jika ada)
   },
   // Opsi Tambahan iPaymu:
   feeDirection: "BUYER", // "BUYER" (bebankan fee ke pembeli) atau "MERCHANT" (potong omset)
@@ -141,12 +141,14 @@ const invoice = await buayar.createInvoice({
 });
 
 if (invoice.success) {
-  console.log("Transaction ID (Trx ID):", invoice.reference); // Contoh: "229432"
+  console.log("Transaction ID (Trx ID):", invoice.reference); // Contoh: "229432" (simpan ini untuk checkTransaction)
   console.log("Nomor Virtual Account:", invoice.vaNumber);     // Contoh: "3811800034705407"
   console.log("Expired:", invoice.expiresAt);
 }
 ```
 
+> 💡 **Parameter `customer.phone` Opsional:** Sesuai dokumentasi resmi iPaymu v2, parameter `phone` bersifat opsional. Buayar tidak lagi menyisipkan nomor fallback buatan — field `phone` hanya disertakan jika memang diisi oleh pembeli/merchant.
+
 ### B. Redirect Payment (Hosted Payment Page)
 Cukup kosongkan `paymentMethod` untuk menggunakan halaman checkout bawaan iPaymu:
 
@@ -158,7 +160,7 @@ const invoice = await buayar.createInvoice({
   customer: {
     name: "Siti Rahma",
     email: "siti@mail.com",
-    phone: "081999888777",
+    phone: "081999888777", // Opsional
   },
   returnUrl: "https://toko-anda.com/checkout/success",
 });
@@ -292,6 +294,8 @@ Callback **harus** membawa header `X-Signature`; Buayar memverifikasinya dengan
 menggunakan **Merchant VA** sebagai secret key. Callback tanpa `X-Signature` yang sah
 akan selalu ditolak (`isValid === false`).
 
+Sesuai dokumentasi resmi iPaymu, payload notifikasi membawa field `reference_id` (berisi nomor order merchant yang dikirim saat `createInvoice`). Buayar otomatis memetakannya ke **`result.orderId`**.
+
 ```typescript
 // Di handler Express.js / Next.js API route + REST framework apapun (Elysia/Hono/...):
 app.post("/api/payment/webhook", (req, res) => {
@@ -299,6 +303,7 @@ app.post("/api/payment/webhook", (req, res) => {
   const result = buayar.verifyWebhook(req.body, req.headers);
 
   if (result.isValid && result.isPaid) {
+    // result.orderId otomatis diambil dari `reference_id` iPaymu (order ID merchant Anda)
     console.log("Pembayaran Berhasil untuk Order ID:", result.orderId);
     console.log("Nominal Diterima:", result.amount);
     // Jalankan logika bisnis: update database status pesanan menjadi PAID
@@ -326,12 +331,22 @@ console.log(invoice.reference); // Contoh: "229432"
 4. Klik tombol **"Kirim" / "Test"**.
 5. Server iPaymu Sandbox akan mengubah status transaksi menjadi **Berhasil** dan otomatis mengirimkan webhook notifikasi ke `notifyUrl` Anda.
 
-### Mengecek Status Transaksi via Kode
+### Mengecek Status Transaksi via Kode (`checkTransaction`)
+
+> ⚠️ **PENTING — Kontrak Resmi Endpoint `/transaction`:**
+> Dokumentasi resmi iPaymu API v2 menegaskan bahwa endpoint `/api/v2/transaction` **hanya menerima `transactionId` numerik** yang diterbitkan iPaymu (`invoice.reference`), **BUKAN** `order_number` atau string `orderId` merchant.
+>
+> Jika aplikasi Anda melakukan polling status, pastikan selalu menyimpan `invoice.reference` di database dan operasikan nilai tersebut ke parameter `merchantOrderId`:
+
 ```typescript
 const check = await buayar.checkTransaction({
-  merchantOrderId: invoice.reference, // Transaction ID iPaymu
+  // WAJIB: Gunakan invoice.reference (TransactionId numerik dari iPaymu),
+  // BUKAN nomor invoice/order_number string toko Anda!
+  merchantOrderId: invoice.reference, // misal "229432"
 });
 
-console.log("Status:", check.rawResponse.Data.StatusDesc);
-// Output: "Berhasil"
+if (check.success) {
+  console.log("Status Transaksi:", check.status); // "paid" | "pending" | "failed"
+  console.log("Status Desc:", check.rawResponse.Data.StatusDesc); // "Berhasil"
+}
 ```