Histórico de mensagens sobre an

ôpa, interessante

E o webhook traz agilidade, a segurança é a mesma. A complexidade de configuração é exatamente para manter a mesma segurança que você tem na consulta ao PSP.

tô especialmente interessado em uma maneira que não precise usar webhooks. Tentei configurar um aqui do meu lado mas acabou sendo muito trabalho e desisti, então a nível do que tô fazendo agora (protótipo pra testes internos) a segurança que o webhook traz é dispensável

existe alguma maneira de checar se uma certa cobrança ainda é válida com base em um txid? (já que uma cobrança pode não ser mais válida caso ela já tenha sido paga ou se ela já tenha expirado por tempo)

Dá para fazer tanto com a chave no script quanto por fetch. Não sei o que a GN fez.

e repassar para o endpoint https://sandbox.gerencianet.com.br/v1/card

https://sandbox.gerencianet.com.br/v1/card

Access to fetch at 'https://sandbox.gerencianet.com.br/v1/pubkey' from origin ' ' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource. If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled.

O SDK para iOS dá uma idéia de como é:
https://github.com/gerencianet/gn-api-sdk-ios/blob/master/GNApiSdk/RSA.m

Eu não sou da Gerencianet. Estou te passando a real da gravidade que é fazer o que você está sugerindo.

Ok, então entenda as implicações dessa escolha, que são muito mais trabalhosas do que depurar código jquery minificado. Você passa a ter uma complexidade estrutural similar à da Gerencianet.

Não queremos transferir nada para o back, mas não temos escolha.

@.mrbender já pode ir pedindo cotação de auditoria PCI para um dos auditores que atenda o mercado brasileiro:
https://listings.pcisecuritystandards.org/assessors_and_solutions/qualified_security_assessors

(E isso só a parte de auditar, precisa também fazer uma infra segura que passe na auditoria...)

Tipicamente se usa chave assimétrica, ou seja, criptografia que só o gateway consegue decodificar. Sempre dá para colocar isso ou no front ou no back, o problema é a gravíssima consequência de você transitar dados de cartão você tendo acesso a eles.

Então é tentar entender pq isso acontece e resolver, não transferir isso pro back-end.

Eu compreendo, mas não podemos continuar usando no nosso front. Está comprometendo a experiência dos usuários mobile em tempo de resposta e as vezes nem mesmo o callback da função de inicialização acontece.

Boa tarde! Alguém poderia me encaminhar algum exemplo ou a documentação da emissão do payment_token sem a necessidade do JavaScript? Infelizmente teremos que recorrer a essa proposta. Está inviável continuar usando aquele script.

E você pode utilizar o endpoint de consulta pelo txid. Segue exemplo na SDK de Python: https://github.com/gerencianet/gn-api-sdk-python/blob/master/examples/pix/charge/pix_detail_charge.py