Configuração

Quase toda a configuração do SDK é feita no dashboard e chega ao navegador pela configuração remota. O snippet só carrega a chave da loja e, quando há, as regras inline. Esta página mostra de onde vem cada ajuste e o que ele faz de fato no checkout.

Atributos do snippetCopiar link da seção

O shield.js lê os atributos data-* da própria tag <script>:

Não existem outros atributos. O modo de proteção e o canal não são definidos por atributo: o modo vem do dashboard e o canal é a própria URL do shield.js. O atributo data-safe-url, de versões antigas do snippet, é ignorado.

Configuração remotaCopiar link da seção

Ao iniciar, o SDK busca a configuração da loja em https://app.proteside.com/api/sdk/config. Quando as camadas divergem, vale esta ordem de prioridade:

1. Configuração remota (o que está salvo no dashboard);
2. Snippet (atributos data-* e regras inline window.__PROTE_INLINE__);
3. Padrões do SDK.

O que vem do dashboardCopiar link da seção

A maior parte fica em Configurações → Proteção do pagamento:

As regras de Regras (bloquear ou permitir por Domínio ou URL do script) também vêm na configuração remota. Regras inativas não são enviadas. Listas vazias significam "sem restrição".

Campos sensíveisCopiar link da seção

Por padrão, o SDK vigia estes seletores:

#card-number, #card-cvv, #card-expiry, #card-name,
[data-proteside-sensitive],
input[autocomplete="cc-number"],
input[autocomplete="cc-csc"]

Para incluir um campo próprio sem mexer no dashboard, marque-o com o atributo data-proteside-sensitive:

<input id="cpf" name="cpf" data-proteside-sensitive />

Se você desligar Usar a lista padrão da Proteside e informar uma lista própria, ela substitui a padrão. Inclua [data-proteside-sensitive] na sua lista se quiser manter o atributo funcionando.

Modo monitor e modo bloqueioCopiar link da seção

O modo é escolhido em Proteção do pagamento → Modo de proteção e chega ao SDK pela configuração remota.

O que acontece em qualquer modoCopiar link da seção

• Um script inserido por JavaScript que casa com uma regra de bloqueio não chega a entrar na página. O SDK envia SCRIPT_BLOCKED.
• Com a lista de GTM preenchida, googletagmanager.com/gtm.js e googletagmanager.com/gtag/js com ID fora da lista são barrados. O SDK envia GTM_CONTAINER_BLOCKED.
• Uma regra Permitir que case com o script anula as regras de bloqueio.
• cdn.proteside.com e app.proteside.com nunca são bloqueados.

O que muda no modo BloquearCopiar link da seção

Além de alertar, o SDK tenta neutralizar a adulteração:

Estas detecções só alertam, em qualquer modo: EXFILTRATION_ATTEMPT, KEYLOGGER_DETECTED, WEBSOCKET_EXFILTRATION, IFRAME_REPLACED, IFRAME_UNEXPECTED, CARD_FIELD_OUTSIDE_VAULT, AMOUNT_TAMPERED, SCRIPT_MODIFIED e FIELD_ACCESS.

Pausa e modo desenvolvedorCopiar link da seção

O SDK fica pausado quando:

• o Modo desenvolvedor está ligado em Proteção do pagamento;
• a assinatura não está vigente ou a loja não está ativa.

Pausado, o SDK envia um único PAGEVIEW marcado como pausado a cada carregamento de página (a tela fala em "1 pageview por sessão") e não inicia nenhum módulo de detecção. Proteside.getStatus().paused fica true e a Saúde do SDK mostra SDK pausado (modo desenvolvedor).

Há também a pausa local, chamada pela própria página com Proteside.pause(). Ela vale só para aquele carregamento.

CanaisCopiar link da seção

O canal de release (stable ou latest) é definido pela URL do shield.js no snippet. Veja Canais stable e latest.

Próximos passosCopiar link da seção

• Integridade de pagamento e Pix
• Eventos e detecções
• Proteção do pagamento no dashboard