Pagamento confirmado não é a mesma coisa que tela carregada
Em produto digital, o erro comum é liberar material quando o usuário volta para a página de sucesso. Isso quebra em cenários simples: navegador fecha, rede falha, redirect não acontece, boleto ou método assíncrono demora, ou alguém tenta forjar uma URL.
O caminho saudável é outro: Stripe confirma o evento, o servidor valida assinatura, o sistema gera link pessoal e o cliente recebe por e-mail transacional.
O que precisa existir antes de vender
- Checkout hospedado, sem cartão passando pelo servidor da RET.
- Webhook com assinatura validada no corpo bruto.
- Idempotência para não enviar duas vezes em retry ou concorrência.
- Link temporário assinado, sem e-mail em texto aberto no token.
- ZIP com manifesto, hash, arquivos completos e nomes portáveis.
- E-mail com texto claro, versão simples e instrução de suporte.
Onde a segurança costuma falhar
- Webhook aceita JSON sem verificar assinatura.
- Evento de teste chega em produção.
- Link de download fica público ou permanente.
- Pacote ZIP não inclui arquivos novos do produto.
- E-mail promete anexo, mas o cliente recebe link quebrado.
- Checkout permite produto sem entrega configurada.
Como a RET trata isso
O Promptbook é pago, entregue por link pessoal e temporário, com pacote fora da pasta pública. A compra deve liberar acesso apenas depois de evento confirmado e o pacote precisa abrir em qualquer computador comum.
Produto digital bom não depende de sorte no redirect. Depende de evento assinado, entrega rastreável e pacote conferido antes de produção.
