Boas práticas

A MinePag cuida da plataforma. Estas práticas cuidam do que depende de você. Revise a lista ao criar a loja e sempre que alguém entrar ou sair da equipe.

Sua contaCopiar link da seção

Ative a verificação em duas etapasCopiar link da seção

Senha e sessõesCopiar link da seção

• Use uma senha exclusiva para a MinePag, guardada em um gerenciador de senhas.
• Ao trocar a senha em Conta › Segurança, as outras sessões abertas são encerradas.
• Usou um computador que não é seu? Clique em Encerrar outras sessões depois.
• Confira Conta › Atividade de vez em quando. Se não reconhecer um login, troque a senha e encerre as outras sessões.

EquipeCopiar link da seção

• Dê o menor papel que resolve. Quem só acompanha vendas é Leitor. Quem cuida do catálogo e da vitrine é Editor. Reserve Administrador para quem mexe em gateways, chaves, webhooks, membros, domínio próprio e dados pessoais dos clientes. Veja Membros e permissões.
• Convide pelo e-mail da pessoa, nunca compartilhe o seu login. Cada pessoa com o próprio acesso deixa um rastro claro nos logs de auditoria.
• Remova quem saiu em Configurações › Membros, digitando o e-mail do membro para confirmar. O histórico das ações dele continua nos logs.
• Exija verificação em duas etapas de todos os membros em Configurações › Membros. Quem ainda não ativou perde o acesso à loja até ativar. Veja Membros e permissões.

Chaves de APICopiar link da seção

Trocar uma chave secreta sem parar a integraçãoCopiar link da seção

1. Em Desenvolvedores › Chaves de API, clique em Trocar na linha da chave.
2. Escolha por quanto tempo a chave antiga continua valendo (de 1 hora a 7 dias), digite o nome da chave e confirme em Trocar chave.
3. Copie a chave nova: ela aparece uma única vez e tem os mesmos escopos da antiga.
4. Atualize a variável de ambiente do seu sistema e publique a mudança dentro do prazo. Se terminar antes, revogue a chave antiga.

Veja mais em Autenticação.

WebhooksCopiar link da seção

• Verifique a assinatura de todo envio com o segredo whsec_… e o padrão Standard Webhooks. Rejeite envios sem assinatura válida.
• Rejeite envios com mais de 5 minutos pelo cabeçalho webhook-timestamp, para barrar repetições maliciosas.
• Trate cada evento uma vez só, guardando o webhook-id já processado: o mesmo evento pode chegar mais de uma vez.
• Troque o segredo se ele vazar. Em Desenvolvedores › Webhooks, clique em Gerar novo segredo. Durante 24 horas, cada envio leva duas assinaturas (do segredo novo e do anterior), para você atualizar o seu sistema sem perder eventos.
• Use HTTPS. A MinePag só envia eventos para endereços HTTPS.

O código de verificação nas 4 linguagens está em Webhooks.

GatewaysCopiar link da seção

• Stripe: use uma chave restrita (rk_…) com só as permissões que o painel indica, nunca a chave secreta completa da conta.
• Efí: a Efí deixa baixar o certificado .p12 uma única vez. Guarde a cópia em local seguro e não a envie por chat ou e-mail.
• Troque a credencial em vez de desconectar. Se uma credencial vazou, gere outra no gateway, revogue a antiga por lá e atualize a conexão em Configurações › Gateways. Desconectar remove a conexão e exige conectar de novo.
• Separe os ambientes. Use as credenciais de teste só em Sandbox e as reais só em Produção.

Servidor MinecraftCopiar link da seção

• Pareie pelo console, com minepag pair <código>. O código vale por 10 minutos e só pode ser usado uma vez.
• Proteja o plugins/MinePag/data/credentials.yml. Ele guarda o token do servidor. Não o envie ao suporte nem o coloque em backups públicos. O config.yml não tem segredos e pode ser compartilhado.
• Revogue o token se o arquivo vazar ou se o servidor mudar de dono: em Entregas › Minecraft, abra o servidor e clique em Revogar token. As compras ficam na fila até um novo pareamento.
• Mantenha a lista de comandos bloqueados. O plugin nunca executa os comandos de delivery.blocked-commands (como op, stop, whitelist e sudo). op, deop, stop e o próprio /minepag continuam bloqueados mesmo se você tirar da lista.
• Restrinja a administração do plugin. A permissão minepag.admin é só para operadores por padrão. Não a dê a jogadores.

Veja Plugin Minecraft.

Vitrine e clientesCopiar link da seção

• Publique os links de Termos de uso e Política de privacidade em Site › Vitrine. Veja LGPD na sua loja.
• Ative a Proteção de checkout em Marketing › Proteção de checkout para barrar compras suspeitas. Veja Proteção de checkout.
• Peça dados pessoais só quando precisar: cada campo de checkout a mais é um dado a mais sob a sua responsabilidade.