La transferencia registra un movimiento en ambas cuentas. Los saldos de tipo deuda/tarjeta se ajustan en sentido inverso al saldo disponible.
La API debe ofrecer GET y PUT en /api/state y autenticar con Bearer Token. Usa HTTPS; no publiques el token ni expongas el servidor sin autenticación.
/api/state