Tokenização reduz a circulação de determinados dados sensíveis ao usar uma referência substituta. O alcance dessa referência depende do produto e do contrato do provedor. Não presuma que todo token tenha restrições de valor, vendedor e prazo, nem que possa circular livremente entre serviços.
Mandatos tratam de outra pergunta: o que o usuário permitiu que o agente fizesse? Essa permissão precisa chegar a um verificador capaz de aplicá-la. A autorização do instrumento, a autorização delegada e a liquidação financeira são evidências distintas, que devem permanecer relacionadas durante o atendimento.
Neste guia
O que separar antes de escolher uma solução?
| Elemento | Pergunta que ajuda a responder |
|---|---|
| Token ou referência de pagamento | Qual instrumento pode ser usado nesta integração? |
| Delegação verificável | Que ação o usuário autorizou e dentro de quais limites? |
| Resposta do provedor | Qual é o estado atual da tentativa financeira? |
| Registro do pedido | O que a loja assumiu entregar ao comprador? |
A separação evita um erro comum de contratação: aceitar uma demonstração de tokenização como prova de autorização completa. Peça ao fornecedor um caso de permissão vencida e outro de valor acima do permitido. O sistema deve explicar a recusa sem permitir que o modelo de linguagem decida ignorar a restrição.
Qual é o papel do AP2 nesse processo?
A especificação AP2 consultada descreve Checkout Mandate e Payment Mandate para relacionar a autorização às condições da compra e do pagamento. A nomenclatura e os contratos precisam acompanhar a versão implementada. Não é seguro tratar uma descrição antiga de intenção, carrinho e pagamento como se fosse o contrato atual de toda integração.
No UCP, a extensão AP2 Mandates precisa ser suportada e negociada entre os participantes. Uma vez ativada, suas verificações não devem ser removidas silenciosamente para concluir uma operação que falhou. A presença de uma assinatura só tem utilidade quando o sistema verifica origem, integridade e vínculo com a transação correspondente.
Como um limite pode falhar mesmo com um token válido?
Em um exemplo hipotético, uma pessoa permite comprar uma cadeira por até R$ 600. O agente encontra uma oferta de R$ 580, mas o total com entrega sobe para R$ 640. O token ainda pode estar tecnicamente utilizável; isso não torna o novo total compatível com a permissão concedida.
O fluxo deve comparar as condições efetivas com a autorização antes da execução e pedir nova confirmação quando necessário. Defina se o limite inclui frete, tributos e demais valores. Uma regra ambígua transfere ao software uma escolha que o comprador talvez nunca tenha aprovado.
Que registros ajudam a investigar uma contestação?
Mantenha referências que conectem a sessão, a versão das condições, a autorização verificada, o pedido e a tentativa financeira. Guarde o resultado da verificação e a informação necessária para reproduzir a decisão, com acesso limitado. Evite registrar tokens completos ou dados sensíveis em mensagens de depuração e chamados de suporte.
Uma trilha bem organizada pode ajudar a reconstruir o ocorrido. Ela não garante vitória em contestação nem altera sozinha as regras do meio de pagamento. Atendimento ainda precisa conferir entrega, cancelamento, devolução e o motivo alegado pelo comprador. Criptografia não responde automaticamente a todas essas perguntas.
Como validar a operação antes da primeira cobrança real?
Teste permissão expirada, alteração de total, destinatário incorreto, repetição da chamada e retorno financeiro incerto. Para cada cenário, estabeleça o estado permitido do pedido e a mensagem de continuidade. Recusa definitiva não deve provocar uma sequência automática de novas cobranças; siga a classificação e a orientação do provedor.
Para aprofundar a relação entre interfaces e permissões, o curso MCP para quem decide ajuda a formular perguntas ao integrador. O guia de identidade e delegação desenvolve os controles de acesso; o de conciliação acompanha o dinheiro. Comece montando uma tabela que relacione cada evidência à decisão que ela realmente permite tomar.