API B2B de Only For Gamer

Inicio rápido

Todas las solicitudes utilizan JSON y deben enviarse por HTTPS. Para comenzar, realizá una consulta a tu perfil usando un token API generado desde el Centro de desarrolladores del Portal B2B.

curl --request GET \
  --url https://b2b.onlyforgamer.com/api/v1/me \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

Colección oficial de Postman

Descargá la colección completa y el entorno de producción para probar todos los endpoints actuales de la API B2B.

Cómo importarlo

1. Descargá e importá los dos archivos en Postman.
2. Seleccioná el entorno Only For Gamer - Producción.
3. Pegá tu credencial en la variable api_token.
4. Configurá sku y los datos indicados por required_fields, como player_id, server_id o player_ip.
5. Dejá idempotency_key vacía para que la colección genere una automáticamente.
6. Ejecutá primero Listar productos. La colección guarda el precio, moneda y disponibilidad de validación del SKU.
7. Si account_validation_available es true, ejecutá Validar cuenta antes de Crear pedido.

Autenticación

La API utiliza un token Bearer. Incluí el encabezado Authorization en todas las solicitudes.

Authorization: Bearer <TU_TOKEN_API>
Accept: application/json
Content-Type: application/json

Permisos del token

Cada token puede limitarse a las funciones necesarias para una integración específica.

Límites de uso

El límite se comparte entre todos los tokens pertenecientes al mismo revendedor. Al superarlo, la API responde con HTTP 429.

Consultar perfil y saldo

Devuelve los datos públicos del revendedor, el saldo contable, el límite de crédito y los fondos totales disponibles.

curl --request GET \
  --url https://b2b.onlyforgamer.com/api/v1/me \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

Respuesta exitosa

{
  "success": true,
  "data": {
    "code": "RESELLER-CODE",
    "company_name": "Empresa revendedora",
    "currency": "USD",
    "balance": "105.080000",
    "credit_limit": "0.000000",
    "available_funds": "105.080000"
  }
}

Consultar productos

Devuelve únicamente los productos que están disponibles y son vendibles para el revendedor, junto con su precio B2B, moneda, campos requeridos y disponibilidad de verificación de cuenta.

curl --request GET \
  --url 'https://b2b.onlyforgamer.com/api/v1/products?region=LATAM&product_type=topup&per_page=20' \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

Respuesta

{
  "success": true,
  "data": [
    {
      "sku": "PRODUCT-SKU",
      "name": "Nombre del producto",
      "brand": "Marca",
      "category": "Recargas",
      "region": "LATAM",
      "product_type": "topup",
      "face_value": "86.000000",
      "face_currency": null,
      "required_fields": [
        "player_id",
        "server_id"
      ],
      "account_validation_available": true,
      "available": true,
      "price": "1.250000",
      "currency": "USD"
    }
  ],
  "meta": {
    "current_page": 1,
    "per_page": 20,
    "last_page": 1,
    "total": 1
  }
}

Validar una cuenta antes de comprar

Ejecutá este endpoint solamente cuando GET /products devuelva account_validation_available: true para el SKU elegido.

Solicitud

curl --request POST   --url https://b2b.onlyforgamer.com/api/v1/products/PRODUCT-SKU/validate-account   --header 'Accept: application/json'   --header 'Content-Type: application/json'   --header 'Authorization: Bearer <TU_TOKEN_API>'   --data '{
    "target_data": {
      "player_id": "123456789",
      "server_id": "1234",
      "player_ip": "203.0.113.10"
    }
  }'

Enviá únicamente los valores correspondientes al producto. Por ejemplo, si required_fields contiene solamente player_id, no necesitás enviar servidor ni IP.

Cuenta verificada

{
  "success": true,
  "data": {
    "verified": true,
    "message": "Cuenta verificada correctamente.",
    "player_name": "Cuenta confirmada",
    "account_validation_token": "TOKEN_OPACO",
    "expires_in": 600
  }
}

Crear un pedido

Crea un pedido B2B, vuelve a comprobar el precio y disponibilidad actuales y reserva los fondos únicamente cuando todas las validaciones requeridas son correctas.

curl --request POST \
  --url https://b2b.onlyforgamer.com/api/v1/orders \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>' \
  --header 'Idempotency-Key: order-20260803-0001' \
  --data '{
    "sku": "PRODUCT-SKU",
    "quantity": 1,
    "external_reference": "MI-PEDIDO-0001",
    "expected_price": "1.250000",
    "expected_currency": "USD",
    "account_validation_token": "TOKEN_SI_CORRESPONDE",
    "target_data": {
      "player_id": "123456789",
      "server_id": "1234",
      "player_ip": "203.0.113.10"
    }
  }'

Pedido creado

{
  "success": true,
  "idempotent": false,
  "data": {
    "order_number": "B2B-01EXAMPLEORDER",
    "external_reference": "MI-PEDIDO-0001",
    "status": "pending",
    "sku": "PRODUCT-SKU",
    "product_name": "Nombre del producto",
    "quantity": 1,
    "currency": "USD",
    "unit_price": "1.250000",
    "total": "1.250000",
    "created_at": "2026-08-03T06:45:00+00:00"
  }
}

Idempotencia

La idempotencia permite repetir una solicitud cuando hubo un timeout o una interrupción de red sin crear dos pedidos.

1. Generá una clave única para cada pedido.
2. Conservá la misma clave al reintentar exactamente la misma solicitud.
3. No reutilices la clave para otro SKU, jugador o servidor.

{
  "success": true,
  "idempotent": true,
  "data": {
    "order_number": "B2B-01EXAMPLEORDER",
    "status": "pending"
  }
}

Listar pedidos

Devuelve los pedidos pertenecientes al revendedor autenticado, ordenados desde el más reciente.

curl --request GET \
  --url 'https://b2b.onlyforgamer.com/api/v1/orders?search=MI-PEDIDO&per_page=20' \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

Consultar un pedido

Devuelve el detalle completo de un pedido, incluyendo los datos públicos del destinatario enviados en target_data.

curl --request GET \
  --url https://b2b.onlyforgamer.com/api/v1/orders/B2B-01EXAMPLEORDER \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

{
  "success": true,
  "data": {
    "order_number": "B2B-01EXAMPLEORDER",
    "external_reference": "MI-PEDIDO-0001",
    "status": "processing",
    "sku": "PRODUCT-SKU",
    "product_name": "Nombre del producto",
    "product_type": "topup",
    "quantity": 1,
    "currency": "USD",
    "unit_price": "1.250000",
    "total": "1.250000",
    "created_at": "2026-08-03T06:45:00+00:00",
    "updated_at": "2026-08-03T06:45:03+00:00",
    "completed_at": null,
    "failed_at": null,
    "target_data": {
      "player_id": "123456789",
      "server_id": "1234",
      "player_ip": "203.0.113.10"
    }
  }
}

Recuperar Gift Cards

Cuando un pedido de tipo gift_card está completado y existe una entrega digital disponible, el endpoint GET /orders/{orderNumber} incluye el objeto delivery.

Ejemplo de respuesta

{
  "success": true,
  "data": {
    "order_number": "B2B-01EXAMPLEORDER",
    "status": "completed",
    "product_type": "gift_card",
    "delivery": {
      "status": "delivered",
      "card_count": 1,
      "delivered_at": "2026-08-28T03:00:00+00:00",
      "cards": [
        {
          "code": "EXAMPLE-CODE-NOT-VALID",
          "pin": "0000",
          "expires_at": "2027-12-31",
          "type": "Gift Card"
        }
      ]
    }
  }
}

Las respuestas que contienen una entrega digital utilizan encabezados de caché restrictivos: Cache-Control: no-store, private y Pragma: no-cache . No deben almacenarse en proxies, navegadores ni cachés intermedias.

Movimientos de saldo

Devuelve el historial financiero del revendedor. Los importes se entregan como strings para conservar la precisión decimal.

curl --request GET \
  --url 'https://b2b.onlyforgamer.com/api/v1/wallet-transactions?direction=debit&date_from=2026-08-01&date_to=2026-08-31&per_page=25' \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer <TU_TOKEN_API>'

{
  "success": true,
  "data": [
    {
      "id": 12,
      "type": "order_debit",
      "direction": "debit",
      "currency": "USD",
      "amount": "1.250000",
      "balance_before": "105.080000",
      "balance_after": "103.830000",
      "order_number": "B2B-01EXAMPLEORDER",
      "reference": "B2B-01EXAMPLEORDER",
      "description": "Débito automático por pedido B2B.",
      "created_at": "2026-08-03T06:45:00+00:00"
    }
  ],
  "meta": {
    "current_page": 1,
    "per_page": 25,
    "last_page": 1,
    "total": 1,
    "from": 1,
    "to": 1
  }
}

Tipos de movimiento

Estados públicos

Los estados internos son normalizados antes de exponerse a los revendedores.

Webhooks

Only For Gamer envía solicitudes POST al endpoint HTTPS configurado para el revendedor cuando cambia el estado público de un pedido.

Eventos disponibles

Payload de un pedido

Los eventos de pedidos contienen solamente información pública. El webhook nunca incluye códigos, PIN, target_data ni payloads operativos.

{
  "id": "00000000-0000-4000-8000-000000000000",
  "event": "order.completed",
  "created_at": "2026-08-28T03:00:00+00:00",
  "data": {
    "order_number": "B2B-01EXAMPLEORDER",
    "external_reference": "MI-PEDIDO-0001",
    "status": "completed",
    "sku": "PRODUCT-SKU",
    "product_name": "Nombre del producto",
    "product_type": "gift_card",
    "quantity": 1,
    "currency": "USD",
    "unit_price": "10.000000",
    "total": "10.000000",
    "delivery_available": true,
    "created_at": "2026-08-28T02:59:55+00:00",
    "updated_at": "2026-08-28T03:00:00+00:00",
    "completed_at": "2026-08-28T03:00:00+00:00",
    "failed_at": null
  }
}

Encabezados enviados

Validación de la firma

Calculá un HMAC-SHA256 usando el timestamp, un punto y el cuerpo JSON original sin modificar.

HMAC_SHA256(
  X-OFG-Timestamp + "." + RAW_JSON_BODY,
  WEBHOOK_SECRET
)

<?php

$rawBody = file_get_contents('php://input');

$timestamp =
    $_SERVER['HTTP_X_OFG_TIMESTAMP']
    ?? '';

$receivedSignature =
    $_SERVER['HTTP_X_OFG_SIGNATURE']
    ?? '';

$secret = getenv('OFG_WEBHOOK_SECRET');

$expectedSignature =
    'sha256='
    . hash_hmac(
        'sha256',
        $timestamp . '.' . $rawBody,
        $secret
    );

if (
    ! hash_equals(
        $expectedSignature,
        $receivedSignature
    )
) {
    http_response_code(401);
    exit('Firma inválida');
}

http_response_code(200);

import crypto from 'node:crypto';

function verifyWebhook({
  rawBody,
  timestamp,
  receivedSignature,
  secret,
}) {
  const expected =
    'sha256=' +
    crypto
      .createHmac('sha256', secret)
      .update(`${timestamp}.${rawBody}`)
      .digest('hex');

  return crypto.timingSafeEqual(
    Buffer.from(expected),
    Buffer.from(receivedSignature)
  );
}

Reintentos

El sistema realiza hasta cinco intentos. Los reintentos automáticos utilizan esperas aproximadas de 1, 5, 15 y 60 minutos.

• Una respuesta HTTP 2xx se considera entregada correctamente.
• HTTP 408, 425, 429 y respuestas 5xx pueden volver a intentarse.
• El endpoint debe responder rápidamente y no depender de redirecciones.

Códigos HTTP

Ejemplo de validación

{
  "message": "El encabezado Idempotency-Key es obligatorio.",
  "errors": {
    "idempotency_key": [
      "El encabezado Idempotency-Key es obligatorio."
    ]
  }
}

Verificación de cuenta requerida

{
  "success": false,
  "code": "ACCOUNT_VALIDATION_REQUIRED",
  "message": "Primero debés verificar la cuenta del jugador."
}

Ejemplo de límite superado

{
  "success": false,
  "message": "Se alcanzó temporalmente el límite de consultas de la API.",
  "error_code": "API_READ_RATE_LIMIT_EXCEEDED"
}

Buenas prácticas