Segurança e privacidade
A estrutura reduz exposição, mas não substitui revisão de segurança, operação e homologação antes de processar dinheiro real.
Fronteiras
- Conta humana: sessão HttpOnly, e-mail verificado e associação à organização.
- Backend integrador: chave com escopos, hash com segredo adicional e revogação.
- Checkout: capacidade aleatória, expiração e sessão específica.
- Frame: origem exata em CSP, sem autoridade financeira em parâmetros visuais.
- Dados pessoais: AES-256-GCM antes da persistência de pré-preenchimento e pagador.
A chave de criptografia deve ficar separada do banco e dos backups. Perder essa chave pode tornar os campos irrecuperáveis; vazá-la junto com o banco quebra essa proteção.
Política de carteiras
Não existe rota de configuração ou seleção de destinatário. Campos desconhecidos são rejeitados. A política live está fechada por código e permanece fechada mesmo com credencial válida.
Operação
Use TLS, variáveis privadas, banco sem porta pública, conta de aplicação sem privilégio de superusuário e backups criptografados. Revise permissões de arquivos e logs. Não registre senhas, chaves, tokens de sessão, documentos, e-mails, corpos de pagamento ou URLs completas de checkout.
Trabalho antes do lançamento
Defina retenção e exclusão de dados pessoais, plano de resposta a incidentes, MFA administrativo, quotas comerciais, auditoria de dependências e testes externos. Fluxos de titulares, base legal e políticas de privacidade precisam de revisão adequada ao produto real.
Limites públicos
O proxy web aplica o mesmo limite de corpo de 16 KiB da API antes de armazenar dados recebidos em fluxo. Destinos de webhook devem resolver para IPs públicos; endereços IPv6 são normalizados antes da classificação. Faixas privadas, mapeadas e especiais são rejeitadas. A demonstração abre apenas uma sessão sandbox temporária na mesma origem e valida origem, janela do iframe e identificador nas mensagens.