Checklist de Go-Live

Revise cada item antes de ativar em produção.

Configuração

• Credenciais de produção configuradas (diferentes do staging)
• CAKTO_BASE_URL apontando para endpoint de produção
• Scripts 3DS com URL de produção (mpi.braspag.com.br, não mpisandbox)
• bpmpi_config.Environment retornando 'PRD' em produção
• Variável de ambiente única (CAKTO_SANDBOX=false) controlando todos os endpoints
• Nenhuma credencial hardcoded no código-fonte

Segurança

• Credenciais de API somente no servidor (BFF ou backend próprio)
• Header Authorization nunca enviado do browser diretamente à Cakto
• postbackUrl em HTTPS com certificado válido
• Webhook verifica autenticidade das notificações recebidas

Fluxo de pagamento

• Script Nethone carregado no HTML (não sob demanda)
• dftp.init() chamado no mount do checkout
• dftp.profileCompleted() chamado antes do submit
• Mesmo UUID em antifraud_profiling_attempt_reference
• docType em minúsculas: "cpf" ou "cnpj"
• zipcode apenas dígitos (8 caracteres)
• country como "BR" (2 letras, ISO 3166-1 Alpha-2)
• amount e unitPrice como string decimal (ex: "149.90")

3DS (se aplicável)

• Token gerado imediatamente antes de bpmpi_authenticate()
• threeDSecure com chaves PascalCase (Cavv, Eci, Version)
• Checkout não submetido se onSuccess não disparou
• Tratamento de todos os callbacks de erro 3DS
• Iframe do challenge visível para o usuário (MutationObserver)
• Timeout global de 90s configurado

UX / Experiência do usuário

• Mensagens de erro genéricas para pagamentos recusados (não revelar motivo de fraude)
• Estado de loading durante o processamento
• Redirecionamento correto para status: "paid"
• Tratamento de status: "pending" (aguardar webhook)
• Scripts 3DS pré-carregados no hover do botão "Pagar" (reduz latência)

Testes finais em staging (api.scpay.com.br)

• Aprovação com cartão Visa 4111111111111111
• Recusa com cartão 4000000000000002
• Fluxo 3DS completo (onSuccess disparou)
• Webhook recebendo notificações em postbackUrl
• Reembolso testado (se aplicável)

Monitoramento

• Logs de erro configurados para falhas de pagamento
• Alerta para taxa de aprovação abaixo do esperado
• Dashboard ou relatório com métricas de conversão