Antes de ativar: crie as credenciais no painel do Mercado Pago. O token fica guardado apenas no arquivo privado do servidor e nunca é enviado à vitrine. O webhook precisa de uma URL pública configurada no painel do Mercado Pago; localhost sozinho não recebe notificações.