Atualização de Segurança na Atividade de Links de Pagamento

[cedran]

O que mudou

Modificada a abordagem de envio de links de pagamento no módulo para garantir conformidade com novas diretrizes de segurança. A partir desta atualização, os links de pagamento não são mais enviados diretamente para os clientes via e-mail ou WhatsApp. Em vez disso, os clientes são notificados por e-mail sobre a geração do link, com a instrução de acessá-lo através da Central do Cliente. Além disso, os links de pagamento não podem mais ser acessados pelo painel do administrador da loja, garantindo que apenas o cliente autenticado tenha acesso a eles.

Motivação

A atualização visa aumentar a segurança no compartilhamento de links de pagamento, garantindo que apenas clientes autenticados possam acessá-los na Central do Cliente. Essa mudança evita que links de pagamento sejam expostos indevidamente em canais não seguros, mitigando riscos de fraude e uso indevido. Também reforça a privacidade do cliente, removendo o acesso ao link pelo painel do administrador.

Solução proposta

A solução implementada altera o fluxo de comunicação dos links de pagamento, garantindo que:

• Os clientes recebam um e-mail de notificação sobre a geração do link de pagamento, sem que o link seja enviado diretamente.
• O link de pagamento esteja disponível apenas na Central do Cliente, em uma seção específica e de fácil acesso.
• A segurança do link seja reforçada, permitindo acesso apenas para clientes autenticados.
• Não haja envio de links de pagamento diretamente por e-mail.
• O acesso ao link de pagamento pelo painel do administrador seja removido, garantindo que apenas o cliente possa visualizá-lo.

Detalhes técnicos

• Implementação de um novo modelo de e-mail para notificação de geração de link de pagamento.
• Alteração da lógica de envio dos links de pagamento, removendo a opção de envio direto por e-mail.
• Criação de um endpoint seguro na Central do Cliente para exibição dos links de pagamento.
• Verificação de acesso ao link para garantir que apenas clientes autenticados possam visualizá-lo.
• Remoção da funcionalidade que permitia ao administrador acessar o link de pagamento pelo painel da loja.

Como testar

Notificação de Geração de Link de Pagamento via E-mail

1. Gerar um link de pagamento utilizando o módulo.
2. Verificar se o cliente recebe um e-mail de notificação.
3. Confirmar que o e-mail não contém o link diretamente, mas orienta o cliente a acessar a Central do Cliente.

Disponibilidade do Link de Pagamento na Central do Cliente

1. Acessar a Central do Cliente com as credenciais do cliente.
2. Verificar a seção onde os links de pagamento são exibidos.
3. Validar que o link gerado está disponível e funcional.

Verificação de Inexistência de Link em Canais Não Permitidos

1. Garantir que o link não foi enviado diretamente por e-mail.
2. Verificar que apenas a notificação com instruções foi enviada.
3. Verificar que o link de pagamento não está mais acessível pelo painel do administrador.

Segurança do Link de Pagamento na Central do Cliente

1. Simular tentativas de acesso ao link na Central do Cliente, com e sem autenticação.
2. Garantir que apenas clientes autenticados consigam acessar o link de pagamento.
3. Testar se o link não pode ser acessado por administradores através do painel da loja.

Critérios de Aceitação

• O e-mail de notificação deve conter uma mensagem clara informando o cliente sobre a geração do link de pagamento e instruindo-o a acessar a Central do Cliente.
• O link de pagamento deve estar disponível exclusivamente na Central do Cliente, em uma localização clara e acessível.
• Não deve haver envio direto de links de pagamento via e-mail.
• O acesso ao link de pagamento deve estar protegido, permitindo visualização apenas para clientes autenticados.
• O link de pagamento não deve estar mais acessível pelo painel do administrador da loja.

Loja para Teste

https://demo-vindi.loja.biz/painel

• Caso o SMTP da loja não esteja configurada para disparar emails, eles poderão ser analisados nos logs dos emails em Lojas > SMTP > Email Logs.
  Lá terá todos os registros de email disparados.

[karina-sakata-vindi]

Boa tarde, pessoal! Tudo bem?

Fizemos os testes e validamos que as atualizações estão funcionando corretamente, conforme os critérios de aceite exigem ✅ .

Apenas um ponto (mas que acaba ficando fora do escopo deste PR) é que, ao cadastrar um cartão na página do link e tentar finalizar o pedido, tomamos um erro de Algo deu errado. Por favor, tente novamente. A finalização do pedido, funcionou somente ao selecionar o cartão que já estava salvo no painel do cliente, mesmo que os dados sejam os mesmos do cartão que tentamos cadastrar.

[cedran]

Boa tarde, pessoal! Tudo bem?

Fizemos os testes e validamos que as atualizações estão funcionando corretamente, conforme os critérios de aceite exigem ✅ .

Apenas um ponto (mas que acaba ficando fora do escopo deste PR) é que, ao cadastrar um cartão na página do link e tentar finalizar o pedido, tomamos um erro de Algo deu errado. Por favor, tente novamente. A finalização do pedido, funcionou somente ao selecionar o cartão que já estava salvo no painel do cliente, mesmo que os dados sejam os mesmos do cartão que tentamos cadastrar.

Subi um ajuste pra corrigir esse erro. Apesar de não ter relação com esse PR, o ideal é corrigirmos isso antes de aprovar o mesmo.
Parece que houve alguma funcionalidade recente que impactou nessa compra com cartão novo no link de pagamento.
Com a correção que subi, acredito que foi ajustado.