Pular para o conteúdo principal

Changelog

2026-10-22​

Correções da documentação: a referência passa a descrever o que a API já fazia.

  • POST /v2/tokenization: o tokenId devolvido passa a ser o identificador do token, o mesmo que DELETE /v2/tokenization/{tokenId} recebe. Antes vinha um número interno, e o DELETE com esse valor respondia 404. A resposta 200 agora traz o corpo na referência: tokenId para expirar o token e token para usar em card.cardToken no pagamento com o cartão salvo.
  • POST /v2/payment e PUT /v2/payment/reverse: o cabeçalho Idempotency-Key é obrigatório (de 8 a 128 caracteres entre letras, números, _, : e -). Sem ele, a API responde 400 IDEMPOTENCY_KEY_REQUIRED. As respostas 200 (replay de uma chave já concluída, com o cabeçalho Idempotent-Replayed: true), 202 (operação aceita e ainda em processamento), 409 (requisição original com a mesma chave ainda em andamento) e 422 (mesma chave com corpo diferente) passam a constar da referência.
  • POST /v2/tokenization: o corpo é obrigatório, com buyerId, pan, cvv, expirationMonth e expirationYear obrigatórios. A resposta 422 (erro de validação) passa a constar da referência.
  • DELETE /v2/tokenization/{tokenId}: o corpo é obrigatório, e a resposta de sucesso é 200.
  • GET /v2/tokenization/{tokenId}/metadata saiu da referência da API. A borda pública não encaminha essa rota, então ela não está disponível para integração.
  • Pagamentos: o media type das respostas de erro passa a ser o que a API devolve. Em geral é application/problem+json; o 401 sai em application/json. Os erros 400, 403 e 404 do estorno (PUT /v2/payment/reverse) passaram a application/problem+json na API e na referência.
  • PUT /v2/payment/capture saiu da referência da API. A operação nunca funcionou: respondia 422 e hoje responde 404. A venda é capturada na criação, e captura posterior não está disponível. O guia de Idempotency-Key deixou de listar a captura.

2026-10-21​

  • Mudança restritiva na listagem de transações (GET /v2/payment/transactions): PageSize passa a ter teto de 100 (padrão 20), e acima disso a requisição é recusada com 400 TRANSACTION_PAGE_SIZE_TOO_LARGE. CreatedAtFrom e CreatedAtTo vêm juntas ou nenhuma: sem as duas, vale a janela dos últimos 7 dias; com as duas, a janela máxima é de 31 dias. Só uma das datas, ou a final menor que a inicial, recebe 400 TRANSACTION_WINDOW_INVALID, e uma janela acima de 31 dias recebe 400 TRANSACTION_WINDOW_TOO_LARGE. Quem pagina a listagem com página maior que 100 ou consulta períodos longos precisa ajustar a integração.
  • TenantId saiu dos parâmetros de query do contrato de GET /v2/payment/transactions. O tenant vem sempre do token de acesso, e um valor enviado nesse parâmetro já era ignorado.

2026-10-13​

  • Publicado Rotas que a borda pública responde: health check não é endpoint de integração, x-correlation-id é sempre propagado e devolvido, e a trilha de auditoria não é pública.
  • Publicado o Modelo de isolamento de tenants: comportamento esperado ao enviar tenantId/identificador de outro tenant em qualquer serviço — valor ignorado ou 404, nunca 403 com detalhe.
  • Guia Idempotency-Key (PAY-S10): os quatro desfechos de uma retentativa com Idempotency-Key em criação, captura, estorno de pagamento e criação/cancelamento de recarga.
  • Códigos IDEMPOTENCY_KEY_REQUIRED, IDEMPOTENCY_KEY_INVALID_FORMAT, IDEMPOTENCY_OPERATION_IN_PROGRESS, IDEMPOTENCY_KEY_REUSED e IDEMPOTENCY_OPERATION_UNCERTAIN adicionados ao catálogo de erros.

2026-10-12​

  • Estorno parcial no Payments Core (PAY-S16): o estorno acumula o total já devolvido e admite múltiplos pedidos parciais na mesma transação, até esgotar o valor capturado.
  • Void de pré-autorização no Payments Core (PAY-S16): anular uma transação Authorized (sem valor) grava o status Voided, distinto de Canceled.
  • Códigos REFUND_EXCEEDS_CAPTURED e VOID_NOT_SUPPORTED adicionados ao catálogo de erros.

2026-10-10​

  • Política de senha do Identity (PCI DSS 4.0.1, requisito 8.3) publicada na referência da API: histórico de senha (8.3.7), troca obrigatória reservada (8.3.5) e piso de bloqueio (8.3.4/8.3.6).
  • Código PASSWORD_CHANGE_REQUIRED adicionado ao catálogo de erros.

2026-10-06​

  • Referência da API v2 publicada para autenticação, tokenização, pagamentos e checkout.
  • Catálogo de erros Problem Details publicado em /erros.