Como testar ações críticas e validações de token

Algumas operações da API exigem um token de ação crítica como confirmação adicional de segurança. Além disso, alguns fluxos da conta, como ativação, confirmação de e-mail e cadastro de dispositivo de Token SMS ou Token App, solicitam um código enviado por e-mail ou SMS.

No Sandbox, utilize um token padrão para homologar esses fluxos antes de implementar o tratamento utilizado em Produção, sem depender do recebimento do código real.

Quando utilizar

Use este fluxo ao testar operações que solicitam confirmação adicional, como:

• transferências;
• saques;
• movimentações financeiras sensíveis;
• outras operações protegidas por ação crítica.

A necessidade do token depende da operação, das configurações da conta e do endpoint utilizado.

Também use o token padrão nos fluxos de validação da conta no Sandbox:

Token de teste

Quando a operação ou o fluxo exigir um token ou código de validação no Sandbox, informe:

000000

Como funciona

%%{init: {"flowchart": {"nodeSpacing": 28,"rankSpacing": 32,"diagramPadding": 8,"padding": 10}}}%%
flowchart TD
    A["Iniciar a operação"] --> B["API solicitar ação crítica"]
    B --> C["Enviar o token 000000"]
    C --> D["Processar a operação"]
    D --> E["Validar o resultado"]

    classDef inicio fill:#DBEAFE,stroke:#2563EB,color:#1E3A8A,stroke-width:3px,font-size:17px
    classDef processo fill:#E0F2FE,stroke:#0284C7,color:#0C4A6E,stroke-width:2px,font-size:17px
    classDef sucesso fill:#DCFCE7,stroke:#16A34A,color:#14532D,stroke-width:3px,font-size:17px

    class A inicio
    class B,C,D processo
    class E sucesso

    linkStyle default stroke:#94A3B8,stroke-width:2px

A forma de envio do token depende do endpoint. Consulte a referência da operação para identificar o campo ou etapa em que ele deve ser informado.

1. Inicie a operação

Envie a requisição utilizando uma chave de API de Sandbox.

Caso a operação esteja protegida, a API indicará a necessidade da validação adicional.

2. Informe o token

Repita ou continue a operação conforme o fluxo documentado pelo endpoint, utilizando o token:

000000

3. Valide o resultado

Após enviar o token, confirme se:

• a requisição foi processada;
• o status da operação foi atualizado;
• o ID retornado foi armazenado;
• os Webhooks relacionados foram recebidos;
• sua aplicação tratou corretamente o resultado.

Exemplo de homologação

%%{init: {"flowchart": {"nodeSpacing": 28,"rankSpacing": 32,"diagramPadding": 8,"padding": 10}}}%%
flowchart TD
    A["Adicionar saldo"] --> B["Criar transferência"]
    B --> C["Informar 000000"]
    C --> D["Executar a operação"]
    D --> E["Validar status e Webhooks"]

    classDef inicio fill:#DBEAFE,stroke:#2563EB,color:#1E3A8A,stroke-width:3px,font-size:17px
    classDef processo fill:#E0F2FE,stroke:#0284C7,color:#0C4A6E,stroke-width:2px,font-size:17px
    classDef sucesso fill:#DCFCE7,stroke:#16A34A,color:#14532D,stroke-width:3px,font-size:17px

    class A inicio
    class B,C,D processo
    class E sucesso

    linkStyle default stroke:#94A3B8,stroke-width:2px

Teste também o comportamento da aplicação quando:

• o token não é informado;
• o token informado é inválido;
• a operação apresenta outro erro;
• o Webhook é recebido mais de uma vez.

Validações da conta no Sandbox

Nos fluxos de ativação da conta, confirmação de e-mail e cadastro ou alteração de dispositivo de Token SMS ou Token App, informe 000000 no campo do código de validação.

%%{init: {"flowchart": {"nodeSpacing": 28,"rankSpacing": 32,"diagramPadding": 8,"padding": 10}}}%%
flowchart TD
    A["Iniciar a validação"] --> B["Informar 000000 no lugar do código recebido"]
    B --> C["Confirmar a validação"]
    C --> D["Verificar o status da conta ou do dispositivo"]

    classDef inicio fill:#DBEAFE,stroke:#2563EB,color:#1E3A8A,stroke-width:3px,font-size:17px
    classDef processo fill:#E0F2FE,stroke:#0284C7,color:#0C4A6E,stroke-width:2px,font-size:17px
    classDef sucesso fill:#DCFCE7,stroke:#16A34A,color:#14532D,stroke-width:3px,font-size:17px

    class A inicio
    class B,C processo
    class D sucesso

    linkStyle default stroke:#94A3B8,stroke-width:2px

Na alteração do número de telefone vinculado ao Token SMS, o token 000000 é aceito tanto na validação do número antigo quanto na do número novo.

Caso a operação não seja concluída

Verifique se:

• a requisição foi enviada ao Sandbox;
• a chave de API pertence ao mesmo ambiente;
• o token foi informado no local esperado;
• a conta possui saldo suficiente;
• os campos obrigatórios estão corretos;
• a operação está disponível para a conta;
• o erro retornado está realmente relacionado à ação crítica ou à validação do código.

Desabilitação no Sandbox

Em cenários específicos, a exigência do token pode ser desabilitada para testes de transferências no Sandbox.

Para solicitar a alteração, consulte a página Entre em contato.

Antes de ir para Produção

Confirme se sua integração:

• não utiliza o token 000000;
• trata corretamente a solicitação de ação crítica;
• trata corretamente os códigos reais de ativação, confirmação de e-mail e Token SMS ou Token App;
• protege os tokens e credenciais recebidos;
• registra tentativas e resultados das operações;
• restringe o acesso a operações financeiras;
• utiliza mecanismos adicionais de segurança quando aplicável.

Entre os mecanismos complementares estão:

• whitelist de IPs;
• validação de saques por Webhook;
• controles internos de aprovação;
• logs e monitoramento de operações.

Conteúdos relacionados

• Transferências no Sandbox
• Configuração da conta Sandbox
• Validação de saques por Webhook
• Mecanismos adicionais de segurança
• Entre em contato