HMAC-SHA256(secreto, "<marca_tiempo>." + cuerpo). Verifica la firma y
que la marca de tiempo esté a menos de 5 minutos: así una petición capturada no se
puede repetir. El SDK lo hace por ti:
2xx rápido; el motor reintenta tres veces con espera y, si no puede
entregar, lo registra: el resultado sigue disponible por la API.