Integre assinatura digital ao seu app usando IA.

Quero adicionar assinatura digital de documentos ao meu app usando a API da assinatura.online.

CONTEXTO DA API assinatura.online (use exatamente isto, não invente endpoints):
- Base: https://assinatura.online/api/public/v1
- Autenticação: cabeçalhos "X-API-Key" e "X-API-Secret". As duas credenciais ficam SOMENTE no servidor (variáveis de ambiente / cofre de segredos). Nunca no navegador, nunca no código do front-end, nunca no Git.
- POST /signatures/create  (JSON)
  {
    "provider": "vidaas" | "birdid",
    "document_name": "Contrato 123",
    "pdf_url": "https://..."      // OU "pdf_base64": "..." (exatamente um dos dois)
    "signer": { "full_name": "...", "cpf": "somente números", "email": "..." },
    "external_id": "id do registro no meu sistema",
    "webhook_url": "https://meu-sistema/api/webhooks/assinatura",
    "test_mode": true              // use true durante o desenvolvimento
  }
  Resposta: { "signature_id", "status", "sign_url" }. Envie sign_url ao signatário; ele autoriza no app do Bird ID ou VIDaaS.
- GET /signatures/get?signature_id=...   -> status atual da solicitação
- GET /signatures/pdf?signature_id=...   -> PDF assinado (somente quando status = "signed")
- POST /signatures/cancel                -> cancela uma solicitação pendente
- Webhooks (POST no webhook_url), eventos: signature.completed, signature.failed, signature.cancelled, signature.expired, signature.dispensed.
  Cabeçalhos: X-Assinatura-Event, X-Assinatura-Timestamp, X-Assinatura-Signature no formato "t=<timestamp>,v1=<hex>".
  Validação: HMAC-SHA256 com o API Secret sobre a string "<timestamp>.<corpo bruto>"; compare em tempo constante e rejeite timestamps com mais de 5 minutos.
- Limitações atuais: um documento e um signatário por solicitação; sem lote; certificado A1 não é aceito pela API (só no assinador gratuito do site).
- Em test_mode o PDF é marcado como teste e NÃO tem assinatura digital válida.
- Documentação completa: https://assinatura.online/documentacao

O QUE CONSTRUIR:
1. Guarde ASSINATURA_API_KEY e ASSINATURA_API_SECRET como segredos do backend (me peça os valores pela tela segura de segredos; não coloque no código).
2. Crie uma função de servidor "enviarParaAssinatura" que recebe o id do documento, monta o JSON acima e chama POST /signatures/create com test_mode: true.
3. Crie uma tabela "assinaturas" com: id, documento_id, signature_id, status, sign_url, criado_em, atualizado_em. Ative a segurança por linha para que cada usuário veja só as suas.
4. Crie um endpoint público de webhook que valide o HMAC antes de qualquer coisa, e atualize o status na tabela conforme o evento.
5. Na tela do documento: botão "Enviar para assinatura", formulário com nome, CPF e e-mail do signatário, selo com o status atual e botão "Baixar PDF assinado" quando o status for "signed" (o download passa pelo meu servidor, nunca expondo as chaves).
6. Mostre mensagens de erro claras em português.

Antes de começar, me explique o plano em poucas linhas. Depois de implementar, me diga como testar com test_mode.