Documentação da plataforma
Para quem vende e para quem integra: o produto sem código e a API, cada tópico em sua página.
Segurança
A invariante central: o cliente nunca envia dados de dinheiro, e dados de cartão nunca passam pelos servidores da 3B.
Princípios
Nenhuma chave secreta sai da 3B. As chaves secretas das processadoras (Pagar.me e Whop) ficam apenas nos servidores da 3B e nunca chegam ao navegador.
Preço e taxas são sempre server-side. O checkout envia só o que o comprador quer comprar (productId, quantity) e os dados dele. Preço, taxa e destino do dinheiro são lidos do banco, nunca do navegador.
Dados de cartão ficam na processadora. Nem você nem a 3B tocam no número do cartão. Em real, o navegador transforma o cartão num token direto na Pagar.me; nas demais moedas, os campos de pagamento são da própria Whop. As duas seguem o PCI DSS.
URL de entrega é privada. O deliveryUrl só é devolvido por get-order-status quando o pedido está paid. Nunca aparece no checkout nem em e-mails de falha.
Token de acesso de assinatura. O access_token é um identificador opaco de alta entropia; trate-o como segredo do comprador. Use-o apenas para validar acesso via verify-access.