Histórico de mensagens

Em nenhum momento eu disse que iria fazer algo no backend. Quem concluiu isso foi você.

Eu não sou da Gerencianet. Estou te passando a real da gravidade que é fazer o que você está sugerindo.

Eu não quero levar nada para o backend. Mas quem deu essa solução foram vocês. Pergunto novamente. Existe alguma diferença entre o que o script faz e o que será feito no backend?

Ok, então entenda as implicações dessa escolha, que são muito mais trabalhosas do que depurar código jquery minificado. Você passa a ter uma complexidade estrutural similar à da Gerencianet.

Não é do nosso interesse depurar código jquery minificado. Acredito que o mínimo de um parceiro de pagamento seria fornecer uma interface limpa e moderna para os browsers.

Não queremos transferir nada para o back, mas não temos escolha.

@.mrbender já pode ir pedindo cotação de auditoria PCI para um dos auditores que atenda o mercado brasileiro:
https://listings.pcisecuritystandards.org/assessors_and_solutions/qualified_security_assessors

(E isso só a parte de auditar, precisa também fazer uma infra segura que passe na auditoria...)

Tipicamente se usa chave assimétrica, ou seja, criptografia que só o gateway consegue decodificar. Sempre dá para colocar isso ou no front ou no back, o problema é a gravíssima consequência de você transitar dados de cartão você tendo acesso a eles.

Então é tentar entender pq isso acontece e resolver, não transferir isso pro back-end.

A forma de gerar esse payment_token no backend usa algum tipo de chave privada ou existe algum outro empecilho para que não possa ser feito a mesma coisa no frontend (Como CORS, por exemplo)?

Eu compreendo, mas não podemos continuar usando no nosso front. Está comprometendo a experiência dos usuários mobile em tempo de resposta e as vezes nem mesmo o callback da função de inicialização acontece.

Só que não usar aquele script aumenta brutalmente sua superfície de exposição e requer auditoria PCI.

Boa tarde, @.mrbender. Vou iniciar um atendimento e te passar os detalhes.

Boa tarde! Alguém poderia me encaminhar algum exemplo ou a documentação da emissão do payment_token sem a necessidade do JavaScript? Infelizmente teremos que recorrer a essa proposta. Está inviável continuar usando aquele script.

Das 3 formas, o que eu acho o melhor combo é webhook mais GET de /pix.

opa, li aqui e acho que entendi, vou tentar desenrolar aqui, obrigado!

E você pode utilizar o endpoint de consulta pelo txid. Segue exemplo na SDK de Python: https://github.com/gerencianet/gn-api-sdk-python/blob/master/examples/pix/charge/pix_detail_charge.py

@relixes Para obter o status da cobrança a recomendação é utilizar o webhook.
Temos mais detalhes na documentação: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-webhooks

Isso ai... O endToEndId ou e2eId seria como o identificador do pagamento que transita entre os PSPs.

valeu, vou tentar aqui