Checklist de Go-Live | A55 Developer Docs

WhatChecklist de prontidão para produção da integração A55

WhyPrevina indisponibilidades, perda de dados e vulnerabilidades de segurança antes de ir para produção

Reading Time15 min

DifficultyIntermediário

PrerequisitesIntegração sandbox funcionando → Todos os cenários de teste passando

Seu progresso é salvo automaticamente

Marque os itens conforme completar — seu progresso é salvo no navegador automaticamente. Não precisa de login.

0/23

Fluxo de token OAuth2 funcionando — client_credentials grant retorna um token válido contra a URL de produção do Cognito
Refresh de token implementado — Seu código renova o token antes da expiração de 3600 segundos, não após um 401
Credenciais em variáveis de ambiente — A55_CLIENT_ID e A55_CLIENT_SECRET nunca são hardcoded no código
Sem segredos no código — Execute git log -p | grep -i "client_secret" no seu repositório e confirme zero resultados

Todos os endpoints testados — Cada endpoint da API que sua integração chama foi testado no sandbox com entradas válidas e inválidas
Tratamento de erros em todos os caminhos — Toda chamada à API tem try/catch, trata HTTP 4xx/5xx e registra o request_id
Lógica de retry com backoff exponencial — Requisições falhas são retentadas com delays de 1s → 2s → 4s → 8s (máx 3 retries), e nunca retenta erros 4xx
Chaves de idempotência em todos os POSTs — Toda criação de cobrança e reembolso inclui um header Idempotency-Key único (UUID v4)
URL de webhook configurada — Sua webhook_url está configurada no merchant e acessível pela internet

Todos os métodos de pagamento testados — Cada método que você aceita (cartão de crédito, PIX, Boleto, etc.) foi testado end-to-end com dados de teste
Fluxo 3DS verificado — Se você suporta 3DS, o fluxo de redirect → challenge → retorno funciona corretamente e você trata todos os resultados
Fluxo de reembolso testado — Reembolsos totais e parciais funcionam, seu sistema atualiza o status do pedido e o cliente é notificado

HTTPS em tudo — Todas as chamadas à API usam https://. Sem fallback HTTP. TLS 1.2+ obrigatório
Verificação HMAC de webhooks — Todo webhook recebido é verificado usando o segredo compartilhado antes do processamento
Tratamento de dados de cartão verificado — Confirme que os dados de cartão passam pela infraestrutura segura da A55 e nunca são armazenados nos seus servidores
Consentimento LGPD — Você coleta consentimento do usuário para processamento de dados e possui política de privacidade que cobre dados de pagamento

Monitoramento de entrega de webhooks — Você acompanha a taxa de recebimento de webhooks e alerta se a entrega cair abaixo do volume esperado
Alertas de taxa de erro — Seu monitoramento dispara alerta se a taxa de erro da API exceder 5% em uma janela de 5 minutos
Conciliação de liquidação automatizada — Relatórios diários de liquidação são baixados e conciliados contra seu banco de dados de pedidos
Logging com request_id — Toda interação com a API registra o request_id da resposta da A55 para escalação de suporte

Credenciais de produção obtidas — Você recebeu e configurou client_id, client_secret e URL do Cognito de produção
DNS configurado — Seu endpoint de webhook e quaisquer URLs de callback são resolvíveis e apontam para infraestrutura de produção
Cobrança de produção testada — Você fez ao menos uma cobrança real com um cartão real em produção e verificou a liquidação